Next.js 22. septembra objavljuje vanredna izdanja zbog kritične ranjivosti u zavisnosti

Tim koji održava Next.js objavio je upozorenje, a ne ispravku. U objavi od 21. septembra 2026. piše da je kritična greška pronađena u paketu od kojeg okvir zavisi i da dva ispravljena izdanja stižu u vanrednom ažuriranju 22. septembra 2026. Imenovane su dvije grane: grana 16 dobija izdanje 16.3.6, a grana 15 izdanje 15.5.26.

Šta objava zaista kaže

Vercelov bezbjednosni tim naveo je datum izdanja, brojeve verzija i oznaku bezbjednosnog izvještaja, i tu je zastao. Oznaka izvještaja je GHSA-vcvr-r3jv-pc5j, a u objavi piše da posljedice, spisak pogođenih verzija i uputstvo za nadogradnju stižu zajedno s ažuriranjem. Kao autori su potpisani Josh Story, Karim Rahal i Sebastian Silbermann.

Paket u kojem je greška nigdje u objavi nije imenovan. Takav je uobičajen oblik usaglašenog objavljivanja ranjivosti: održavaoci paketa iz kojeg greška potiče objavljuju prvi, a svaki okvir koji taj paket koristi zadržava svoje detalje do tog trenutka. Posljedica je da onaj ko obavještenje pročita 21. septembra 2026. sazna da dolazi nešto ozbiljno, ali ne i šta je pogođeno.

Zašto greška u zavisnosti pogađa i aplikacije sagrađene na okviru

Okvir je stablo zavisnosti. Next.js povlači i kod koji nije sam napisao, između ostalog za obradu slika, kompresiju i unutrašnje rutiranje. Kad se greška nađe u jednom od tih paketa, svaka aplikacija sagrađena na okviru je nasljeđuje, bez obzira na to da li ikada sama pozove ranjivi dio koda.

Isto nasljeđivanje objašnjava zašto ispravku koju gradnja zaista preuzme objavljuje okvir, a ne sam paket. Ručno podizanje verzije posrednog paketa najčešće nije dovoljno, jer okvir sam zadaje opsege u kojima se njegove zavisnosti razrješavaju.

Šta se isplati uraditi prije nego što izdanje stigne

Razmak između najave i ispravke jedini je period u kojem napadač može da zna da greška postoji, a odbrana ne zna koja je. Vercel je taj razmak sveo na otprilike jedan dan, što je kratko. I toliko je dovoljno da koristan posao bude priprema, a ne analiza.

Redakcija je ujutru 22. septembra 2026. provjerila registar npm: nijedno od dva najavljena izdanja tamo još nije objavljeno, pa uputstva za nadogradnju zasad nema.

• Utvrditi koju verziju okvira pokreće svako okruženje, uključujući probna i pripremna.
• Pratiti stranicu izdanja i oznaku bezbjednosnog izvještaja, a ne prenesene objave s društvenih mreža.
• Unaprijed odlučiti ko odobrava neplanirano postavljanje u produkciju, da se ta odluka ne donosi usred čitanja izvještaja.