Preskoči na sadržaj
Šta tražiš?. Otvori pretraguEN

Oznake

zavisnosti

14 stavki
NEXT.JS7ranjivosti zakrpljeno, dvije još čekaju
Alatijak signal

Next.js 16.3.8 i 15.5.27 zatvaraju sedam ranjivosti, a kritična zakrpa je odgođena

Next.js je 30. septembra 2026. objavio septembarsko bezbjednosno izdanje. Verzije 16.3.8 i 15.5.27 zatvaraju jednu ranjivost visoke, pet srednje i jednu niske težine. Spisak ide od krivotvorenja zahtjeva na strani servera u optimizaciji slika do trovanja keša na sajtovima na sopstvenom hostingu. Još dvije ispravke, jedna kritična i jedna visoke težine, odložene su za kasnije izdanje zbog kašnjenja u paketu od kojeg Next.js zavisi. Većina spiska pogađa aplikacije koje se ne hostuju na Vercelu.

Next.js Blogprovjereno

NEXT.JS16.3.7devet bezbjednosnih ispravki, zakazano za 30.
Alatisrednji signal

Next.js je za 30. septembar zakazao bezbjednosno izdanje koje ispravlja devet ranjivosti

Tim projekta Next.js najavio je 23. septembra 2026. da izdanja 16.3.7 i 15.5.27 izlaze 30. septembra 2026. Izdanje ispravlja devet ranjivosti, od kojih je jedna označena kao kritična. Bezbjednosni izvještaji koji ih opisuju izlaze tek zajedno s izdanjem. Ovo dolazi osam dana poslije vanrednog izdanja 16.3.6, pa će mnogi projekti u istom mjesecu nadograđivati okvir dvaput.

Next.jsprovjereno

NEXT.JS16.3.6zatvara izvršavanje koda na daljinu u modulu n
Alatijak signal

Next.js 16.3.6 zatvara kritičnu ranjivost izvršavanja koda na daljinu

Vanredno izdanje je objavljeno kao 16.3.6 na liniji Active LTS i 15.5.26 na liniji Maintenance LTS. Pogođene su verzije od 16.2.0 do onih nižih od 16.3.6, i to kroz implementaciju ImageResponse za Node.js, gdje nepravilno izbjegavanje znakova u SVG izlazu biblioteke Satori može dovesti do izvršavanja koda na daljinu. Aplikacije koje koriste Edge implementaciju nisu pogođene, a Next.js 15.x tu ranjivost uopšte nema. Ispravka radi tako što nadograđuje uzvodne zavisnosti, među njima i Satori.

Next.jsprovjereno

Alatijak signal

Next.js 22. septembra objavljuje vanredna izdanja zbog kritične ranjivosti u zavisnosti

Vercel je saopštio da je kritična bezbjednosna greška utvrđena u paketu koji Next.js povlači kao zavisnost. Ispravljena izdanja 16.3.6 i 15.5.26 najavljena su za vanredno ažuriranje 22. septembra 2026. Bezbjednosni izvještaj s opisom posljedica i spiskom pogođenih verzija izlazi tek uz ta izdanja. Do tada niko ko pokreće ovaj okvir ne može da izmjeri sopstvenu izloženost.

Next.jsprovjereno

Alatisrednji signal

Novi token za npm smije da preda verziju, ali ne i da je objavi

GitHub je 18. septembra 2026. dodao novu dozvolu za tokene s ograničenim pristupom: čitanje i upis, ali samo do pripreme. Tok posla s takvim tokenom predaje verziju u prostor za pripremu, a registar paketa odbija svako neposredno objavljivanje s njega, i onda kad je token podešen da zaobiđe dvofaktorsku potvrdu. Objavljivanje pripremljene verzije traži održavaoca i drugi faktor. Rok je već zadat, jer neposredno objavljivanje kroz tokene koji zaobilaze dvofaktorsku potvrdu nestaje u januaru 2027.

GitHub Changelogprovjereno

Industrijajak signal

Otpremljena slika dovela je do internog koda OpenAI-ja, a napad je napisao Claude Opus 5

Tri istraživača firme Hacktron povezala su grešku u memoriji biblioteke libheif s propustom u jedinstvenoj prijavi OpenAI-ja i stigla do internog repozitorijuma koda te kompanije. Ulaz je bila HEIC datoteka otpremljena na javni forum zajednice. Opus 4.8 kroz više sesija nije napravio pouzdan napad, a Claude Opus 5, objavljen iste večeri, uspio je za tri sata. OpenAI je isplatio nagradu od 6.500 dolara, a cio lanac je trajao manje od 72 sata.

Hacktronprovjereno

Alatijak signal

Projekat Rust upozorava da se održavaoci mame na video pozive radi podmetanja zlonamjernog koda

Tim registra crates.io i radna grupa za odgovor na bezbjednosne incidente objavili su upozorenje 17. septembra 2026. U toku je kampanja usmjerena na članove projekta i na vlasnike popularnih paketa, a cilj je preuzimanje njihovih uređaja i naloga i objavljivanje zlonamjernog koda kroz njih. Mamac je posao, projekat ili ugovor, a sastanak se zakazuje kao video poziv. Jedan paket, arrayref, na taj način je u avgustu nakratko bio kompromitovan. Projekat navodi da još ne zna pripadaju li svi slučajevi jednoj kampanji.

Rust Blogprovjereno

Agentisrednji signal

OpenClaw 2026.8.2 donio je aplikaciju za Linux i proširio podrazumijevani pristup među sesijama

OpenClaw 2026.8.2 objavljen je 1. septembra 2026. Iz obimnih bilješki uz izdanje dvije stavke su važnije od ostalih: aplikacija za računar na Linuxu i izmjena onoga što sesija podrazumijevano smije da dosegne. Sesije koje ne rade u izolovanom okruženju od sada podrazumijevano rade i s drugim sesijama istog agenta, osim ako to neko ne suzi. Isto izdanje podiže zavisnost Sharp na 0.35.4, uz biblioteku libheif 1.23.2, i time ispravlja ranjivosti u dekodiranju slika.

OpenClawprovjereno

Agentijak signal

Nagovještaj propusta je dovoljan da agent sam napiše napad

Anil Madhavapeddy je ispravio propust u obradi putanja u jednoj OCaml biblioteci i ispravku otvorio javno, onako kako se to radi godinama. Za desetak minuta je njegov server u zapisima imao pokušaje upravo tog napada. Njegov sopstveni agent je prije toga, samo iz grubog opisa gdje da traži, već sastavio funkcionalan napad. Embargo počiva na pretpostavci da se ćutanjem o pojedinostima dobija na vremenu, a ta pretpostavka je prestala da važi.

Anil Madhavapeddyprovjereno

Alatisrednji signal

Oba SDK-a su za osam dana napustila httpx, pa su dodaci morali za njima

Izdanje llm-anthropic 0.27 stiglo je 24. avgusta i traži biblioteku anthropic 1.x, koja je sloj za HTTP prebacila s httpx-a na httpx2. OpenAI je isti korak napravio u izdanju 3.0.0, osam dana ranije, 12. avgusta. Okruženja u kojima su oba dodatka ne mogu se više nadograđivati odvojeno.

Simon Willisonprovjereno

Alatisrednji signal

llm 0.33 skida privremeno ograničenje i prelazi na httpx2

Izdanje 0.32.1 držalo je nove instalacije na okupu tako što je OpenAI-jev Python paket ograničilo ispod verzije 3.0.0. To je bila privremena mjera, a izdanje 0.33 donosi pravu popravku: prelazak na biblioteku OpenAI 3.x i zamjenu HTTP klijenta httpx klijentom httpx2. Uz to stižu i izmjene vidljive u svakodnevnom radu, među njima opcija --key na komandama za vektorsko ugrađivanje i izlazi serverskih poziva alata u zapisu.

Simon Willisonprovjereno

Alatislab signal

Nova instalacija alata llm prestala je da radi jer je OpenAI-jeva biblioteka napustila httpx

Izdanje 0.32.1 vezuje OpenAI-jev paket za Python ispod verzije 3.0.0, da bi nove instalacije opet radile. U samom alatu llm ništa se nije promijenilo: uvozio je httpx, a oslanjao se na to da će ga OpenAI-jev paket povući sa sobom, pa kad je taj paket izbacio httpx, zavisnost prosto više nije stizala. Malo je to izdanje, ali pouka ga nadživljava.

Simon Willisonprovjereno

Websrednji signal

Kako Baseline pomaže u smanjenju isporučenog JavaScripta

Jad Joubran daje praktičan postupak za provjeru datoteke package.json: koje se biblioteke mogu izbaciti zato što pregledač isti posao obavlja izvorno. Tekst objašnjava tri stanja Baselinea — limited availability, newly available i widely available — i pokazuje kako se ona koriste kao mjerilo umjesto procjene. Razmak između tvrdnje da je biblioteka potrebna i činjenice da je pregledač već zamjenjuje zatvara se brže nego što ga većina projekata prati.

Smashing Magazineprovjereno