Next.js je bezbjednosno izdanje najavio šest dana unaprijed, s jednom kritičnom ranjivošću
Vercel je datum bezbjednosnog izdanja objavio šest dana unaprijed. Izdanja 16.3.3 i 15.5.24 najavljena su za 26. avgusta, zajedno s punim opisom propusta. Najava postoji da bi timovi nadogradnju mogli da zakažu umjesto da za nju saznaju iz liste objavljenih ranjivosti.
Next.js je 20. avgusta 2026. najavio bezbjednosno izdanje za 26. avgusta, šest dana unaprijed. Po toj najavi izdanje zatvara jednu ranjivost ocijenjenu kao kritičnu i stiže kao verzije 16.3.3 i 15.5.24, uz opis pogođenih verzija, posljedica i koraka za nadogradnju.
Šta se zna prije izdanja
Objava navodi težinu i brojeve verzija, a o samoj ranjivosti ništa. To je i smisao ovakve najave: pojedinosti stižu sa zakrpom, pa najava daje datum oko kojeg se planira, bez uputstva onome ko traži propust.
Zakrpu dobijaju dvije linije izdanja: na liniji 16.x nadogradnja ide na 16.3.3, a na liniji 15.x na 15.5.24. Nema naznake da je ijedna linija pogođena drugačije.
- Najavljeni datum izdanja je 26. avgusta 2026.
- Jedna ranjivost, ocijenjena kao kritična.
- Zakrpljene verzije: 16.3.3 na liniji 16.x i 15.5.24 na liniji 15.x.
- Opis posljedica i pogođenih verzija izlazi sa izdanjem, ne prije njega.
Zašto najava ide prva
Vercel je ovaj postupak najavio u julu. Razlog je raspored: kritična zakrpa koja stigne bez najave takmiči se s poslom koji je tim već imao u planu tog dana, pa nadogradnja klizi. Datum poznat šest dana ranije isti posao pretvara u stavku u kalendaru.
Cijena tog pristupa je javna. Objava da kritična ranjivost postoji, prije nego što zakrpa postoji, napadaču sužava polje traženja. Vercel tu cijenu prihvata u zamjenu za kraći razmak između zakrpe i njene primjene, uz napomenu da najava ne sadrži nijednu tehničku pojedinost koja bi to traženje skratila.
Šta se može uraditi do izdanja
Prvi korak je utvrditi koju verziju Next.js-a svako okruženje stvarno pokreće, a ne koju navodi zaključana datoteka zavisnosti. Drugi je provjeriti da li je put od te verzije do zakrpljene čist, jer odloženi skok preko glavne verzije petominutnu bezbjednosnu nadogradnju pretvara u popodne posla.
Za pitanja je u objavi navedena adresa security@vercel.com, a istraživači se upućuju na Vercelov program nagrada za propuste u otvorenom kodu. Objavu potpisuju Josh Story, Karim Rahal i Sebastian Silbermann.
Šta se poslije toga stvarno desilo
Izdanje nije izašlo po ovoj najavi. Vercel je 25. avgusta saopštio da je u jednoj od uzvodnih zavisnosti našao još jednu kritičnu ranjivost i da izdanje pomjera dan ranije. Izašlo je tog dana, u verzijama 16.3.3 i 15.5.24, s dvije kritične ranjivosti umjesto jedne. Pojedinosti stoje u zasebnoj vijesti.
„Najava unaprijed daje timovima vremena da isplaniraju nadogradnju prije nego što zakrpe budu objavljene.“
Izvori
Ispravke
Ranija verzija navodila je da bezbjednosno izdanje stiže 26. avgusta 2026. i da zatvara jednu kritičnu ranjivost, prema najavi od 20. avgusta. Vercel je 25. avgusta objavio da je u jednoj uzvodnoj zavisnosti našao još jednu kritičnu ranjivost i da zbog nje izdanje pomjera za dan ranije. Tekst je osvježen prema opisu izdanja od 25. avgusta 2026: izdanje je izašlo tog dana, u verzijama 16.3.3 i 15.5.24, i zatvara dvije kritične ranjivosti, a obje dopuštaju izvršavanje koda na daljinu bez prijave.
Dopuna ranije napomene s ovog istog dana. Tekst je tada bio prepisan sadržajem izdanja od 25. avgusta, čime je ova vijest o najavi prestala da bude razumljiva kao zapis od 20. avgusta, a portal je o istom izdanju dobio dvije jednake stranice. Vraćen je izvorni izvještaj o najavi, dok novije stanje ostaje u napomeni iznad i u zasebnoj vijesti na koju ovaj tekst sada upućuje.
Povezano
Next.js je zakrpu pomjerio dan ranije, a broj kritičnih ranjivosti je s jedne skočio na dvije
Izdanja 16.3.3 i 15.5.24 izašla su 25. avgusta umjesto najavljenog 26. U zavisnoj biblioteci pojavilo se drugo izvršavanje koda na daljinu bez prijave, pa zakrpljena izdanja gase optimizaciju AVIF slika dok se ta biblioteka ne popravi.
Next.jsprovjereno
Python 3.15 uvodi UTF-8 kao podrazumijevano kodiranje i odloženo učitavanje modula
Python 3.15.0 objavljen je 9. oktobra 2026. Datoteke otvorene bez zadatog kodiranja sada se na svakom sistemu čitaju i pišu kao UTF-8, a nova naredba lazy import odlaže učitavanje modula do trenutka kad zatreba. Izdanje donosi i tip frozendict i profiler koji radi uzorkovanjem.
Python Software Foundationprovjereno
Tim Denoa prelazi u Cloudflare, a okruženje Deno dobija još godinu dana ispravki
Ryan Dahl je 9. oktobra 2026. objavio da cijeli tim Denoa prelazi u Cloudflare. Izvršno okruženje Deno dobijaće mjesečne ispravke još godinu dana, a potom se razvoj završava. Servis Deno Deploy gasi se za šest mjeseci, dok registar JSR nastavlja da radi.
Denoprovjereno