Express v5.3.0 출시, HTTP 헤더 보안·보안 취약점 해결

핵심 요약

• Express 프레임워크 v5.3.0이 출시되었으며, res.send()에서 Content-Length와 Transfer-Encoding 헤더 충돌 문제를 수정해 HTTP 명세를 준수하도록 개선했다.
• qs, proxy-addr, body-parser, content-type 등 주요 의존성을 업그레이드하여 CVE-2026-2391, CVE-2026-82417, CVE-2026-82562, CVE-2026-90711, CVE-2026-12590 등 5개의 보안 취약점을 해결했다.
• req.fresh가 이제 QUERY 요청도 검증하도록 확장되어, 조건부 요청(If-None-Match 등)이 있을 때 304 Not Modified 응답을 정상 반환한다.
• res.redirect() HTML 응답에 <!DOCTYPE html>, , 태그를 추가해 브라우저 호환성을 높였다.
• content-type 파서를 ^2.0.0으로 업그레이드하여 Content-Type 파싱/포매팅 성능을 1.5배 개선했고, res.send()가 charset 추가 시 기존 파라미터를 보존하도록 변경했다.
• 에러 핸들러가 스택 트레이스만 아닌 전체 에러 객체를 로깅하도록 개선되어, Error.cause나 라이브러리별 속성(예: Sequelize의 parent/original) 정보도 출력된다.
• content-disposition을 ^2.0.1로 업그레이드하여 res.download()·res.attachment()·res.sendFile()의 파일명이 유효한 HTTP 토큰이면 따옴표로 감싸지 않도록 변경했다.
• app.render()에서 options이 null일 때도 정상 작동하도록 수정되었고, 중복된 Content-Type 헤더 처리를 제거하여 성능을 최적화했다.