Nuxt Image 보안 업데이트: WAF보다 패치와 실제 배포 확인이 먼저다

이미지 처리 경계와 보안 점검을 표현한 생성형 개념 이미지다. 실제 서비스 화면이 아니다.

Nuxt Image로 사용자 이미지를 처리한다면 지금 확인할 것은 WAF 알림보다 실제로 배포된 의존성이다. 2026년 10월 30일 공개된 보안 권고에 대응하려면 영향 조건을 확인하고, 패치한 뒤 재배포까지 검증해야 한다.

Cloudflare도 같은 날 긴급 WAF 규칙을 추가했지만 기본 비활성이고 부분 방어라고 밝혔다. Cloudflare를 사용한다는 사실만으로 패치가 끝났다고 판단해서는 안 된다. Cloudflare 공식 발표

모든 Nuxt 서비스가 같은 영향을 받지는 않는다

Nuxt 공식 권고의 핵심 조건은 서버의 IPX 이미지 변환 경로, 공격자가 제어하는 이미지 원본, 인증 없는 경로 접근이 함께 존재하는 경우다. 사용자 업로드나 허용된 외부 호스트의 콘텐츠도 원본이 될 수 있다.

플랫폼 이미지 공급자는 IPX를 추가 설정하지 않았다면 영향 대상이 아니다. Workers 같은 edge 런타임은 해당 경로를 등록하지 않는다. 정적 생성은 런타임 경로가 없지만, 신뢰하지 못하는 이미지를 읽는 빌드에는 위험이 남는다. 배포 업체 이름만 보지 말고 빌드 위치와 실제 provider 설정을 확인해야 한다. Nuxt 공식 권고

IPX 권고는 조작된 다중 페이지 이미지를 디코딩할 때 메모리가 손상되어 프로세스가 종료될 수 있으며, 원격 코드 실행으로 이어질 가능성도 설명한다. 이는 모든 요청이 코드 실행에 성공한다는 뜻이 아니다. 패치는 페이지 높이와 페이지 수를 함께 검사한다. 단순히 이미지 변환 modifier만 제한하는 것은 해결책이 아니다. IPX 공식 권고

메이저 버전에 맞춰 패치한다

아래 버전은 Nuxt 프레임워크 본체가 아니라 @nuxt/image 패키지 기준이다. 공개된 패치 조합은 다음과 같다.

@nuxt/image 0.x는 지원 종료로 패치가 제공되지 않는다. IPX를 직접 쓰는 프로젝트에는 2.1.2·3.1.3·4.1.0 패치 계열이 있다. Nuxt Image에서 IPX는 선택적 의존성이므로 상위 패키지 번호만 확인하지 말고 실제 해석된 버전도 확인한다. Nuxt 패치 안내 · IPX 패치 안내

아래는 npm을 사용하는 프로젝트의 작업 예시이며, 이 글에서 실행한 결과는 아니다. 먼저 프로젝트 루트에서 의존성 트리를 확인한다.

npm ls는 설치된 패키지와 의존성 관계를 보여 준다. 같은 패키지의 여러 버전이 남아 있는지도 살펴본다. npm ls 문서

기존 @nuxt/image 2.x 프로젝트에서는 다음을 검토한다.

기존 @nuxt/image 1.x 프로젝트라면 대신 다음을 검토한다. 두 설치 명령을 연달아 실행하는 절차가 아니다.

이는 공지된 패치 버전을 명시한 예시다. 더 최신 버전을 선택한다면 릴리스와 호환성을 함께 검토한다. pnpm·Yarn 저장소에서는 기존 패키지 관리자를 유지하고 npm lockfile을 새로 섞어 만들지 않는다. npm install 문서

설치 성공과 운영 반영을 구분한다

다음은 공식 패치 정보를 바탕으로 제안하는 실무 검증 순서다.

1. package.json과 lockfile의 변경을 함께 검토한다. 직접 의존하는 IPX가 있다면 별도로 확인한다.

2. 프로젝트의 기존 테스트와 빌드를 수행한다. 정상 JPEG·PNG와 서비스가 지원하는 애니메이션 이미지가 계속 처리되는지 본다.

3. 새 빌드 산출물이나 컨테이너를 배포한다. 로컬 node_modules의 버전은 운영 버전의 증거가 아니다.

4. 배포 ID, 이미지 digest, 빌드 로그처럼 실제 가동 산출물을 식별할 자료를 남긴다.

5. 정상 이미지 요청의 응답과 오류율을 확인한다. 기능 장애를 이유로 취약한 산출물을 무심코 다시 배포하지 않도록 대응 계획도 준비한다.

패키지 업데이트를 커밋했는데 오래된 컨테이너가 계속 서비스 중이라면 대응은 아직 끝나지 않았다. 반대로 원격 서비스에 악성 이미지를 보내는 재현 시험은 이 점검에 필요하지 않다.

당장 패치하지 못한다면

Nuxt 권고는 필요 없는 IPX 경로를 차단하거나, 신뢰하지 못하는 원본이 들어오지 못하게 제한하는 임시 대응을 제시한다. 파일 확장자나 Content-Type 검사만으로 충분하다고 보아서는 안 된다. 공식 임시 대응

경로를 막으면 이미지가 깨질 수 있으므로 영향 화면과 적용 범위를 먼저 확인한다. WAF는 보조 방어로 검토하되 이 규칙이 자동 활성화되거나 모든 변형을 차단한다고 가정하지 않는다.

이 글은 공개 권고와 문서를 검토한 대응 가이드다. 특정 사용자의 앱이 취약하다고 진단하거나, 운영 서버의 패치·침해 여부를 확인한 결과가 아니다. 완료 기준은 “업데이트 명령 성공”이 아니라 패치된 의존성을 포함한 산출물이 실제 서비스하고 있음을 확인하는 것이다.