Brotli는 웹에서 전송하는 데이터의 양을 줄이는 압축 방식이에요. Node.js에서 알려진 취약점은 이 압축을 푸는 코드에 있는데, Bun과 Python의 Brotli 패키지들도 같은 코드를 사용해 각각 수정이 필요합니다.

공격자가 만든 데이터를 취약한 코드로 압축 해제하면 메모리 유출·프로세스 충돌·원격 코드 실행으로 이어질 수 있어요. 서버가 받는 요청뿐 아니라 외부 서버에서 가져오는 응답도 공격 경로가 될 수 있습니다. Python에서는 Brotli 패키지가 설치돼 있으면 urllib3·requests 같은 HTTP 라이브러리가 자동으로 사용할 수 있어, 애플리케이션에서 직접 불러오지 않아도 영향을 받을 수 있어요. 실제 노출 여부는 공격자가 제어하는 데이터를 취약한 코드로 압축 해제하는지에 달려 있습니다.

• 발행 당시 수정 버전은 Bun 1.4.4 이상, Python Brotli 1.2.1 이상, brotlicffi 1.2.1.0 이상이에요. 취약한 코드를 포함한 실행 파일이나 컨테이너 이미지도 다시 빌드하고 배포해야 합니다.
• 원문에 소개된 Python 검증은 수정 버전이 잘못된 입력을 거부한다는 확인이에요. Python에서 원격 코드 실행을 입증한 실험은 아닙니다.

링크를 누르기 전에 다음 화면의 내용을 가져오면 클릭 뒤에 기다리는 시간을 줄일 수 있어요. Vercel의 AI 앱 제작 도구 v0는 Next.js 16.4로 화면 전환을 개선하면서, 템플릿의 공개 데이터를 캐시하고 미리 불러와 클릭 직후 제목과 미리보기를 보여주도록 했습니다.

처음에는 화면에 보이는 모든 카드의 상세 정보를 미리 가져왔어요. 그 결과 첫 개편 뒤 운영 환경에서 템플릿 상세 페이지로 보내는 사전 요청(prefetch)이 2.9배로 늘었습니다. 이후 큰 목록과 그리드에서는 카드에 마우스를 올리거나, 키보드 포커스를 옮기거나, 터치했을 때 상세 정보를 가져오도록 조정했어요.

• 작고 고정된 링크 그룹은 화면에 보일 때 미리 가져오는 방식을 유지했어요.
• 2.9배는 첫 개편 뒤 템플릿 상세 페이지의 prefetch 요청 증가량이에요. 전체 요청 증가량이나 후속 조정으로 줄어든 양을 뜻하지는 않습니다.

여러 요청 처리 함수가 같은 로그인 확인과 오류 처리 순서를 따르면, 테스트에서도 비슷한 검사가 반복될 수 있어요. Robin Wieruch는 공통 패턴을 문서로 정해 AI가 따르게 하는 팀에서, 이런 반복 검사를 lint로 옮긴 사례를 소개했습니다. lint는 코드를 실행하기 전에 파일을 읽고 정해진 작성 규칙을 지켰는지 검사하는 도구예요.

로그인 확인이 먼저 나오는지, 서버 호출이 오류 처리 구문 안에 있는지는 lint로 확인하고, 그 검사와 겹치는 테스트를 걷어냈습니다. 외부 의존성을 대신하는 테스트 준비 코드도 파일 종류별로 공유해, 개별 테스트에는 각 코드가 내리는 판단과 분기를 남겼어요.

• 규칙을 점검하는 과정에서는 오류와 빈 목록을 함께 반환하는 버그도 발견했어요. 이 때문에 화면이 요청 실패와 결과가 없는 상태를 구분하지 못했습니다.
• lint로 옮긴 대상은 반복되는 코드 구조 검사예요. 공통 패턴을 넘어서는 판단과 동작은 테스트로 확인하며, 원문은 단위·통합 테스트를 다루고 E2E 테스트는 포함하지 않습니다.