Le 14 octobre, l'équipe Next.js a publié la mise à jour hors bande promise le 8 octobre : des correctifs pour deux vulnérabilités critiques et une vulnérabilité de gravité élevée dans les dépendances en amont. Les lignes Next 16.x et 15.x ont reçu des versions corrigées.

Faites cela dans l'ordre

  1. Lisez l'avis et recherchez les numéros de version corrigés pour la ligne de vos broches de build.
  2. Supprimez la dépendance, exécutez la construction, exécutez les tests.
  3. Déployez le même jour ; un correctif reposant sur un ordinateur portable n’est pas un correctif.
  4. Lisez ensuite le texte CVE afin que la prochaine fois vous puissiez juger un avis en quelques minutes au lieu d'un après-midi.

Avec un programme formel de versions de sécurité annoncé en juillet, une version en août le 25 août et une en septembre le 30 septembre, la cadence est publique et fiable. Le créneau récurrent du calendrier bat à chaque fois la ruée d’urgence.

Une version épinglée qui n’est jamais déployée est un verrou sur une boîte vide. Expédiez-le.