Blog
Perspective despre dezvoltare software, securitate și tehnologie de la echipa noastră.
O vulnerabilitate Next.js în imaginile OG poate executa cod pe serverul tău. Actualizează la 16.3.6.
Vercel a lansat o actualizare de urgență pentru Next.js pe 22 septembrie pentru a remedia CVE-2026-94545, o vulnerabilitate critică de execuție de cod la distanță în `ImageResponse` Node.js din `next/og`, cu scor CVSS 9,5. Afectează aplicațiile care transmit valori controlate de vizitatori în imagini Open Graph dinamice, ceea ce descrie majoritatea configurațiilor de share card. Iată cine este expus, de ce actualizarea framework-ului singur poate să nu fie suficientă și ce să verifici azi.
Un prototip poluat poate intercepta traficul tău axios. Actualizează la 1.18.0.
axios tocmai a dezvăluit CVE-2026-67320, o vulnerabilitate de poluare a prototipurilor în adaptorul HTTP Node.js care poate redirecționa cererile de ieșire ale serverului tău printr-un proxy controlat de atacator și scurge credențiale prin HTTP necriptat. Este o reamintire clară că o dependență pe care abia o configurezi reprezintă tot suprafață de atac. Iată ce trebuie corectat și ce trebuie schimbat dincolo de patch.
Node.js renunță la modelul par-impar. Cum îți planifici acum actualizările.
Node.js retrage modelul de lansare par-impar pe care echipele de backend s-au bazat timp de un deceniu. Începând cu versiunea 27, există un singur major pe an, fiecare lansare devine LTS și un nou canal Alpha de șase luni se deschide în octombrie. Iată ce schimbă asta dacă rulezi Node în producție și singurul job CI de adăugat acum.