npm 4.6.3

nuxt のOSSカルテ

最終確認 2026年10月30日 02:10

11 観測できた項目

1 確認すべき点

1 データが取得できない項目

nuxt は 2026年10月30日時点で公開されている OSS です。採用前に確かめておきたい点が 1 件あります。採用の可否は、使う版の既知の脆弱性・ライセンス・必要な機能を合わせてご判断ください。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

パッケージの公開元とリポジトリの結び付きが、公開されている来歴情報から確認できました。

deps.dev の relatedProjects: UNVERIFIED_METADATA, SLSA_ATTESTATION
来歴 SLSA_ATTESTATION により裏付けが取れています

github.com/nuxt/nuxt

確認すべき点（1件）

注意点あり既知の脆弱性版 4.6.3 に影響する Advisory が 1 件公開されています。修正版が出ているかを確認し、上げられるかを検討してください。件数の多さがそのまま危険度を示すわけではありません。読み方

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

Fuzzing 0 / 10

CII-Best-Practices 2 / 10

Code-Review 4 / 10

Branch-Protection 5 / 10

Token-Permissions 7 / 10

Vulnerabilities 7 / 10

Pinned-Dependencies 8 / 10

Security-Policy 10 / 10

Maintained 10 / 10

Dangerous-Workflow 10 / 10

Dependency-Update-Tool 10 / 10

Binary-Artifacts 10 / 10

SAST 10 / 10

License 10 / 10

CI-Tests 10 / 10

Contributors 10 / 10

Packaging 判定不能外部からは確かめられませんでした

Signed-Releases 判定不能外部からは確かめられませんでした

観測した項目

確認できたライセンス MIT として公開されています。実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。読み方

確認できたリポジトリとの紐付け github.com/nuxt/nuxt と結び付いています。パッケージの公開元とリポジトリの結び付きが、公開されている来歴情報から確認できました。

確認できた直近の更新最後の push は 2026年10月28日です。読み方

確認できたリリース直近のリリースは 2026年10月27日です。読み方

確認できた Code-Review OpenSSF Scorecard の評価は 4 / 10 です。読み方

確認できた Security-Policy OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Dangerous-Workflow OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Token-Permissions OpenSSF Scorecard の評価は 7 / 10 です。読み方

データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

確認できた Branch-Protection OpenSSF Scorecard の評価は 5 / 10 です。読み方

確認できた貢献者 30名の貢献が記録されています。読み方

既知の脆弱性

版 4.6.3 に影響するものを表示しています。 件数の多さがそのまま危険度を示すわけではありません。

ID	内容	重大度	修正版
GHSA-vjh5-4x84-xrqp	Nuxt: Server-side route rules (`redirect`, `headers`, `proxy`, `ssr`) are skipped for case-variant paths when routing is...	CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N	4.6.2

OpenSSF Scorecard

7.8 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。各項目の読み方は指標の読み方にまとめています。
生成日: 2026-07-14T15:22:38Z

Code-Review Found 11/26 approved changesets -- score normalized to 4 4 / 10

Security-Policy security policy file detected 10 / 10

Maintained 30 commit(s) and 8 issue activity found in the last 90 days -- score normalized to 10 10 / 10

Dangerous-Workflow no dangerous workflow patterns detected 10 / 10

Dependency-Update-Tool update tool detected 10 / 10

Token-Permissions detected GitHub workflow tokens with excessive permissions 7 / 10

Binary-Artifacts no binaries found in the repo 10 / 10

Packaging packaging workflow not detected 判定不能

Pinned-Dependencies dependency not pinned by hash detected -- score normalized to 8 8 / 10

CII-Best-Practices badge detected: InProgress 2 / 10

SAST SAST tool is run on all commits 10 / 10

Signed-Releases no releases found 判定不能

License license file detected 10 / 10

Vulnerabilities 3 existing vulnerabilities detected 7 / 10

Fuzzing project is not fuzzed 0 / 10

Branch-Protection branch protection is not maximal on development and all release branches 5 / 10

CI-Tests 23 out of 23 merged PRs checked by a CI test -- score normalized to 10 10 / 10

Contributors project has 88 contributing companies or organizations 10 / 10

当サイトの観測

直近のリリースからの経過	2 日
リリース間隔の中央値	6 日（直近30件から算出）
記録されている貢献者	30 名（上位30名まで）
最多貢献者の割合	33.8 %

⭐ Stars	61,003

採用前に確認すること

☐ ライセンスを確認した
☐ 使うバージョンの脆弱性を確認した
☐ パッケージとリポジトリの紐付けを確認した
☐ 保守の状態を確認した
☐ 脆弱性の報告先を確認した
☐ 代替手段を確認した
☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース	状態
OSV.dev	取得しました
GitHub	取得済み（保存していた内容）
Open Source Insights (deps.dev)	取得済み（保存していた内容）
OpenSSF Scorecard	取得済み（保存していた内容）
Open Source Insights — 版の詳細	取得済み（保存していた内容）
GitHub — リリース	取得済み（保存していた内容）
GitHub — 貢献者	取得済み（保存していた内容）

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。詳しくはデータの出典をご覧ください。

OSSカルテの見方

Vue を土台にしたフレームワークです。ファイルの配置がそのままルーティングになり、サーバー側での描画、静的な書き出し、データ取得、自動読み込み（auto-import）をまとめて提供します。Vue 単体では自分で組み合わせる部分を、既定の形として持ちます。

採用を検討するときに迷う点

静かに壊れる箇所

サーバー側では、モジュールの変数が利用者間で共有されます。
```
// ★危険。サーバーでは全リクエストで同じ変数になります
const user = ref(null);
export const useUser = () => user;
```
1人で試している間は正しく動きます。 同時に複数の利用者が来たとき、別の人のデータが見えます。 リクエストごとに分けるには useState() を使ってください。これは Nuxt に限らずサーバー側描画の共通の落とし穴です
サーバーとブラウザで描画結果がずれると、静かに作り直されます。 現在時刻や乱数をそのまま表示すると必ずずれます。開発時には警告が出ますが、本番では黙って上書きされ、一瞬ちらつくだけになります
自動読み込みは、同じ名前を上書きします。 自分で定義した関数と、モジュールが提供する関数の名前が重なると、 どちらが使われるかが分かりにくくなります
サーバー専用の値がブラウザへ流れることがあります。 取得した値をそのまま状態に入れると、ページの HTML に埋め込まれて配信されます。 秘密の値を含めていないか確認してください

採用前に確認すること

配置先を先に決めてください。 サーバー側描画を使う場合、常駐するプロセスを置ける環境が要ります。共用のホスティングでは動かせないことがあります。

静的な書き出しだけで足りるかも検討してください。内容が固定のサイトなら、書き出したファイルを配るだけで済み、運用がはるかに単純になります。

同じ目的のOSSとの関係

Vue + Vite の組み合わせは、サーバー側描画が要らない管理画面などでは十分です。学ぶことが少なく、配置先も選びません。

Next.js は React を土台にした同じ位置づけのフレームワークです。どちらの UI ライブラリを使うかで決まります。

Astro は内容が中心のサイト向けで、既定で JavaScript を配りません。 Vue の部品を組み込むこともできます。ブログや資料サイトでは候補になります。

ここは当サイトによる説明です。上の観測結果とは分けて表示しています。

リリースと活動の履歴

GitHub が公開している記録から遡ったものです。 当サイトの計測開始より前も含みます。

記録のある最初のリリース: 2016年11月7日; 遡れた 294 件のうち最も古いもの

28 直近12か月のリリース

7日リリース間隔の中央値

プレリリースは数えていません。平均ではなく中央値を出しています（1度だけ間が空いた年があると平均は歪むため）。

年ごとのリリース本数

6 16 12 17 17 18 20 19 20 20 9 21 0 22 40 23 26 24 35 25 24 26

最も多い年で 40 本。 本数の多さは、そのまま良し悪しを表しません。 細かく出す方針のプロジェクトと、まとめて出す方針のプロジェクトがあります。

週ごとのコミット数（直近52週）

合計 1,797 コミット / 最も多い週で 148 コミット。 GitHub の集計によるもので、マージコミットの扱いなど数え方は GitHub に従います。

当サイトでの観測の記録

当サイトでの計測開始: 2026年8月31日; 60日ぶん / 40回の観測

観測した変化

2026年10月29日
- 新しいリリースを検出しました
2026年10月24日
- Advisory が追加されました
2026年10月18日
- 新しいリリースを検出しました
2026年10月11日
- 新しいリリースを検出しました
2026年10月7日
- 新しいリリースを検出しました
2026年8月31日
- 初回の観測

OpenSSF Scorecard のスコアと脆弱性情報の状態は、 当サイトの計測開始より前には遡れません。 公開元が過去の値を残していないためです。リリース日や最終コミット日など、上の観測結果に出ている日付は GitHub などの記録によるもので、計測開始より前のものも含みます。

同じ目的のOSS

vue 土台にしている next React 側で同じ位置づけ

nuxt のOSSカルテ

リポジトリとの紐付け

確認すべき点（1件）

OpenSSF Scorecard の評価

観測した項目

既知の脆弱性

OpenSSF Scorecard

当サイトの観測

人気

採用前に確認すること

出典

採用を検討するときに迷う点

静かに壊れる箇所

採用前に確認すること

同じ目的のOSSとの関係

リリースと活動の履歴

年ごとのリリース本数

週ごとのコミット数（直近52週）

当サイトでの観測の記録

観測した変化

同じ目的のOSS

別のOSSを調べる