Blog
Approfondimenti sullo sviluppo software, sicurezza e tecnologia dal nostro team.
Un bug OG-image di Next.js può eseguire codice sul tuo server. Aggiorna alla 16.3.6.
Il 22 settembre Vercel ha rilasciato un aggiornamento straordinario di Next.js per correggere CVE-2026-94545, un bug critico di esecuzione remota di codice in `ImageResponse` Node.js di `next/og`, con punteggio CVSS 9.5. Riguarda solo le app che inseriscono valori controllati dai visitatori nelle immagini Open Graph dinamiche, ma questa è la configurazione della maggior parte delle share card. Ecco chi è esposto, perché aggiornare solo il framework potrebbe non essere sufficiente, e cosa verificare oggi.
Un prototipo contaminato può dirottare il traffico axios. Aggiorna alla versione 1.18.0.
axios ha appena divulgato CVE-2026-67320, una vulnerabilità di prototype pollution nel suo adattatore HTTP per Node.js che può reindirizzare le richieste in uscita del server attraverso un proxy controllato da un attaccante e far trapelare le credenziali in chiaro via HTTP. Un promemoria chiaro che una dipendenza che configuri appena è comunque una superficie d'attacco. Ecco cosa correggere e cosa cambiare oltre alla patch.
Node.js abbandona il modello pari-dispari. Ecco come pianificare gli aggiornamenti adesso.
Node.js mette in pensione il modello pari-dispari su cui i team backend si sono affidati per un decennio. A partire dalla versione 27, c'è un major all'anno, ogni rilascio diventa LTS e un nuovo canale Alpha di sei mesi apre a ottobre. Ecco cosa cambia se si utilizza Node in produzione e il singolo job CI da aggiungere subito.