بدأ نوفمبر 2026 بتحديث أمني مجدول من Next.js، وقبله بأيام انتقل Node.js 26 إلى مرحلة الدعم الطويل. هذا ملخص ما يهم صاحب المشروع وفريقه.
Next.js: سبع ثغرات مغلقة (3 نوفمبر)
أصدر فريق Next.js النسختين 16.4.5 و15.5.29. النسخة 16.4.5 تغلق الثغرات السبع كلها، والنسخة 15.5.29 تغلق ثلاثًا منها تخص خط 15. وتصنّف مدونة Next.js ثغرة واحدة بأنها عالية الخطورة والبقية متوسطة.
- تسرّب بيانات بين العملاء عند الجمع بين unstable_cache و use cache، وهي الثغرة المصنفة عالية، وتهم المنصات التي تخدم أكثر من عميل من نفس التطبيق.
- ثغرتان أخريان في Cache Components قد تعرضان محتوى مخزنًا لشخص غير صاحبه.
- إفساد صفحات مخزنة في المواقع المستضافة ذاتيًا عبر next start، في إعداد مسارات محدد.
- ظهور قيم الكوكيز المحمية بـ HttpOnly في ترويسة داخلية بمسارات Edge، ويحتاج استغلالها إلى JavaScript يتحكم به المهاجم على نفس النطاق.
- خلط الردود بين الزوار في المواقع المستضافة ذاتيًا خلف بعض إعدادات Reverse Proxy.
- تجاوز منع ملفات SVG في تحسين الصور، ضمن المصادر المسموح بها فقط.
Node.js 26 صار LTS (28 أكتوبر)
دخل خط Node.js 26 مرحلة الدعم الطويل مع الإصدار 26.13.0 باسم Lithium، وسيستمر في تلقي التحديثات حتى نهاية أبريل 2029. وخطا 22 و24 ما زالا مصنفين LTS في صفحة الإصدارات الرسمية.
وتغيّر جدول الإصدارات نفسه: ابتداءً من Node.js 27 سيصدر إصدار رئيسي واحد في السنة، في أبريل، ويصبح كل إصدار LTS في أكتوبر من السنة نفسها. أول إصدار بهذا النظام هو 27.0.0 المخطط له في أبريل 2027، والجدول قابل للتعديل.
ما الذي تفعله الآن؟
- اطلب من فريقك إصدار Next.js الفعلي المنشور على الخادم، لا المكتوب في جهاز المطور فقط.
- حدّث إلى الإصدار الآمن، ثم افحص تسجيل الدخول والنماذج والدفع.
- إن كان موقعك يخدم أكثر من عميل أو يستخدم Cache Components، فراجع البيانات المخزنة بعد التحديث.
- للمشاريع الجديدة، اختر Node.js 26 لأنه أطول الخطوط الحالية دعمًا.