Repository navigation
Next.js: уязвимости 14.10 — DoS через Server Actions (High) на проде 16.3.8; фикс 16.4.1+ #457
Description
Найдено ревью Dependabot-PR #456 (16.10). Три advisory Next.js от 2026-10-14, исправлены в 16.4.1; npm latest — 16.4.2.
| advisory | что | затронуты | у нас |
|---|---|---|---|
| GHSA-p3m5-59mp-jv5r (High) | CPU DoS через Server Actions | >= 16.0.0 <= 16.4.0 | уязвимы: прод 16.3.8, Server Actions — admin, watch, checkout. Обхода нет, только обновление |
| GHSA-673q-mjm6-r5xr (Critical) | RCE в use cache с typed arrays |
>= 16.0.0 <= 16.4.0 | use cache не используем; advisory всё равно велит обновиться |
| GHSA-2464-fhr4-w9xw (Critical) | RCE в оптимизаторе картинок через sharp | > 16.0.0 <= 16.4.0 | смягчено: sharp 0.35.5 (#417) |
Почему ночной security.yml молчит: osv-scanner на 16.10 08:07 — «No issues found», а Dependabot alerts в репозитории выключены.
Сделать
- Поднять
nextиeslint-config-nextдо 16.4.2 — в fix(deps): next 16.4.2 (уязвимости Next.js от 14.10) и 26 минорных обновлений сайта (#457) #456 (там уже 16.4.0) с перегенерацией лока. - CI, смоук стенда:
- главная;
/watch: выдача токена и сохранение прогресса через Server Action;/ingest;/es→ 308.
- Релиз — по «релизь» владельца.
GDPR: не касается.
Activity
fix(deps): next и eslint-config-next 16.4.2 — уязвимости Next.js от 1…
fix(deps): next 16.4.2 (уязвимости Next.js от 14.10) и 26 минорных об…
efymd9 commentedon Oct 16, 2026
Next 16.4.2 влит в main (PR #456), стенд обновится. Задача остаётся открытой до выкладки на прод ближайшим релизом (прод сейчас 16.3.8, уязвим).
efymd9 commentedon Oct 17, 2026
Next 16.4.2 на проде с релизом matio-v0.21.0 (17.10):
/api/healthz→ 0.21.0, деплой зелёный, новых ошибок в Sentry за час нет. Закрываю.