Next.js je za 30. septembar zakazao bezbjednosno izdanje koje ispravlja devet ranjivosti
Tim projekta Next.js najavio je 23. septembra 2026. da izdanja 16.3.7 i 15.5.27 izlaze 30. septembra 2026. Izdanje ispravlja devet ranjivosti, od kojih je jedna označena kao kritična. Bezbjednosni izvještaji koji ih opisuju izlaze tek zajedno s izdanjem. Ovo dolazi osam dana poslije vanrednog izdanja 16.3.6, pa će mnogi projekti u istom mjesecu nadograđivati okvir dvaput.
Izvor
Upcoming Next.js September Security ReleaseNext.js Blog · Original objavljen 23. septembra 2026.
Next.js je objavio najavu, a ne ispravku. U objavi od 23. septembra 2026. najavljeno je bezbjednosno izdanje koje izlazi 30. septembra 2026. i navedene su dvije verzije: 16.3.7 za granu 16 i 15.5.27 za granu 15. Kao razlog najave tim navodi da timovi dobiju vremena da isplaniraju nadogradnju.
Šta najava sadrži
Izdanje ispravlja devet ranjivosti: jednu kritičnu, dvije visoke, pet srednje i jednu niske ozbiljnosti. Potpuni bezbjednosni izvještaji, s posljedicama, pogođenim verzijama i uputstvom za nadogradnju, biće objavljeni zajedno s izdanjima. Do tada najava ne opisuje nijednu ranjivost, a izdanje za granu 14 ne pominje.
Kao autori su potpisani Josh Story, Karim Rahal i Sebastian Silbermann. Objava istraživače upućuje na Vercelov program nagrada za prijavljene greške u otvorenom kodu, a za pitanja navodi adresu security@vercel.com.
Drugo bezbjednosno izdanje za osam dana
Next.js je 22. septembra 2026. vanredno objavio izdanja 16.3.6 i 15.5.26. Izdanje 16.3.6 zatvara kritičnu ranjivost daljinskog izvršavanja koda u implementaciji ImageResponse iz modula next/og, koja pogađa verzije od 16.2.0 naviše. Grana 15 tom ranjivošću nije bila pogođena, a 15.5.26 donosi samo dodatno učvršćivanje. Redakcija je ujutru 24. septembra 2026. provjerila registar npm: izdanja 16.3.7 i 15.5.27 tamo još nisu postojala.
Praktična posljedica su dvije nadogradnje u jednom mjesecu za svakoga ko je primijenio prvu ispravku. Projekat koji je izdanje 16.3.6 preskočio ne treba da čeka 30. septembar, jer je kritična ranjivost koju ono zatvara već javno poznata.
Šta se isplati uraditi prije 30. septembra
Zakazano izdanje s poznatim datumom omogućava pripremu koju vanredna ispravka ne ostavlja.
- Potvrditi da svako okruženje na grani 16 već pokreće izdanje 16.3.6.
- Za 30. septembar rezervisati vrijeme za nadogradnju i postavljanje u produkciju.
- Provjeriti da li neki projekat još koristi granu 14, jer najava za nju ne navodi ništa.
- Pratiti bezbjednosne izvještaje na stranici izdanja, a ne sažetke s društvenih mreža.
„Ova najava daje timovima vremena da isplaniraju nadogradnju prije objave ispravki.“
Izvori
Povezano
Python 3.15 uvodi UTF-8 kao podrazumijevano kodiranje i odloženo učitavanje modula
Python 3.15.0 objavljen je 9. oktobra 2026. Datoteke otvorene bez zadatog kodiranja sada se na svakom sistemu čitaju i pišu kao UTF-8, a nova naredba lazy import odlaže učitavanje modula do trenutka kad zatreba. Izdanje donosi i tip frozendict i profiler koji radi uzorkovanjem.
Python Software Foundationprovjereno
Tim Denoa prelazi u Cloudflare, a okruženje Deno dobija još godinu dana ispravki
Ryan Dahl je 9. oktobra 2026. objavio da cijeli tim Denoa prelazi u Cloudflare. Izvršno okruženje Deno dobijaće mjesečne ispravke još godinu dana, a potom se razvoj završava. Servis Deno Deploy gasi se za šest mjeseci, dok registar JSR nastavlja da radi.
Denoprovjereno
Anthropic održavaocima otvorenog koda besplatno šalje izvještaje o ranjivostima koje nije pregledao čovjek
Anthropic je 8. oktobra 2026. pokrenuo OSS Scanner, besplatnu uslugu skeniranja za projekte otvorenog koda koji se sami prijave. Skeniranje rade najjači modeli kompanije, među kojima je Claude Mythos. Svaki izvještaj sadrži postupak za reprodukciju greške, objašnjenje i predlog ispravke kad postoji, ali ga prije slanja ne provjerava nijedan čovjek. Anthropic navodi da očekuje da više od 90 odsto nalaza bude tačno.
Anthropicprovjereno