Next.js için 14 Ekim'de acil güvenlik güncellemesi geliyor

Next.js, birçok kurumsal sitenin ve e-ticaret mağazasının üzerine kurulduğu web çatısı. Ekip 8 Ekim'de, 14 Ekim Çarşamba günü olağan takvim dışında bir güvenlik güncellemesi yayımlayacağını duyurdu. Güncelleme, Next.js'in kullandığı başka paketlerdeki üç açığı kapatacak. İkisi kritik, biri yüksek önem derecesinde. İkisi aslında eylüldeki güncellemeye yetişecekti; o paketlerin geliştiricileriyle uyum beklendiği için ertelendi.

Açıkların ayrıntıları, etkilenen sürümler ve güncelleme adımları 14 Ekim'de güncellemeyle birlikte yayımlanacak. Ekip, güncelleme çıkar çıkmaz uygulanmasını istiyor.

Eylülde ne kapatıldı

30 Eylül'deki güvenlik sürümü 16.3.8 ve 15.5.27 sürümleriyle geldi. Kapatılan açıklardan bazıları:

• Görsel optimizasyonunda sunucu taraflı istek sahteciliği (yüksek). Yalnız dış adreslerden görsel çeken, yani images.remotePatterns ayarı olan siteleri etkiliyor.
• Kendi sunucusunda çalışan ve Pages Router kullanan sitelerde önbelleğin başka bir sayfanın içeriğiyle zehirlenmesi (orta). Vercel'de barınan siteler etkilenmiyor.
• Görsel paylaşım kartı üreten adreslerde bilgi sızıntısı (orta)

Ne yapmalı

1. Projenizin package.json dosyasında Next.js sürümüne bakın.
2. Yamalar yalnız 16.3 ve 15.5 sürüm hatlarına geliyor. Daha eski bir sürümdeyseniz önce bu hatlardan birine geçmeniz gerekiyor; bunu 14 Ekim'den önce planlamak işinizi kolaylaştırır.
3. Sitenizi bir ajans ya da geliştirici yönetiyorsa, 14 Ekim'den sonra güncellemenin yapılıp yapılmadığını sorun.