Next.js 26. avgusta krpi jednu kritičnu ranjivost

Vercel je objavio datum prije zakrpe. Izdanja 16.3.3 i 15.5.24 stižu 26. avgusta zajedno s punim opisom propusta, a najava postoji da bi timovi nadogradnju mogli da zakažu umjesto da za nju saznaju iz CVE liste.

Next.js je najavio bezbjednosno izdanje za 26. avgust 2026, šest dana unaprijed. Izdanje zatvara jednu ranjivost ocijenjenu kao kritičnu i stiže kao verzije 16.3.3 i 15.5.24, uz opis pogođenih verzija, posljedica i koraka za nadogradnju. Šta se zna prije izdanja Objava navodi težinu i brojeve verzija, a o samoj ranjivosti ništa. To je i smisao ovakve najave: pojedinosti stižu sa zakrpom, pa najava daje datum oko kojeg se planira, bez uputstva onome ko traži rupu. Zakrpu dobijaju dvije linije izdanja. Ko je na 16.x, nadograđuje na 16.3.3; ko je ostao na 15.x, nadograđuje na 15.5.24. Nema naznake da je ijedna linija pogođena drugačije. Zašto najava ide prva Next.js je ovaj postupak najavio u julu. Razlog je raspored: kritična zakrpa koja padne bez najave takmiči se s onim što je tim već imao u planu tog dana, pa nadogradnja klizi. Datum poznat šest dana ranije isti posao pretvara u stavku u kalendaru. Cijena je javna. Objava da kritična ranjivost postoji, prije nego što zakrpa postoji, napadaču kaže gdje da traži. Vercel tu cijenu prihvata u zamjenu za kraći razmak između zakrpe i njene primjene, a najava ne nosi nijednu tehničku pojedinost koja bi to traženje skratila. Datum izdanja je 26. avgust 2026. Jedna ranjivost, ocijenjena kao kritična. Zakrpljene verzije: 16.3.3 na liniji 16.x i 15.5.24 na liniji 15.x. Opis posljedica i pogođenih verzija izlazi sa izdanjem, ne prije njega. Šta uraditi dotle Utvrdi koju verziju Next.js-a svako tvoje okruženje stvarno pokreće, a ne koju tvrdi zaključana datoteka zavisnosti. Provjeri da li je put od te verzije do zakrpljene čist, jer skok preko verzije koji odlažeš mjesecima pretvara petominutnu bezbjednosnu nadogradnju u popodne posla. Za pitanja je u objavi navedena adresa security@vercel.com, a istraživači se upućuju na Vercelov program nagrada za propuste u otvorenom kodu. Potpisali su je Josh Story, Karim Rahal i Sebastian Silbermann.