Next.js vydal kritické bezpečnostní patche

Next.js zveřejnil srpnový bezpečnostní release a doporučuje upgrade na 16.3.3 pro Active LTS nebo 15.5.24 pro Maintenance LTS. Podle blogu release řeší dvě zranitelnosti s kritickou závažností. Původně byl bezpečnostní release připravovaný na 26. srpna, ale tým jej posunul dopředu na 25. srpna. Pro vibecoding komunitu je to velmi praktická novinka. Next.js patří mezi nejčastější frameworky, které generují nástroje typu v0, Cursor, Bolt, Lovable, Replit nebo Claude Code. Když agent během odpoledne postaví landing page, interní portál nebo SaaS dashboard, často si vývojář ani nevšimne, jakou přesnou verzi frameworku projekt používá. U AI generovaných projektů tak vzniká bezpečnostní dluh rychleji: hodně repozitářů, hodně prototypů, minimum údržby. Tento release připomíná, že „ship fast“ musí mít i druhou polovinu: patch fast. Pokud máte desítky AI prototypů na Vercelu, vlastním hostingu nebo u klientů, dává smysl projít `package.json`, lockfile a reálné deploye. Nestačí opravit hlavní monorepo; zranitelné mohou být i zapomenuté preview aplikace, interní nástroje nebo „dočasné“ dashboardy, které mezitím začaly používat reálná data. Praktický postup: spusťte audit repozitářů, najděte všechny projekty s `next`, ověřte verze v lockfilech, aktualizujte na opravené LTS verze a redeployněte. U týmů, které používají agentní coding, je vhodné přidat podobné bezpečnostní checklisty přímo do agent instructions. Agent by neměl jen generovat feature, ale také kontrolovat známé bezpečnostní aktualizace frameworku před publikací.