TL;DR
Next.js vừa phát hành 16.2.6 và 15.5.18 với các bản vá bảo mật quan trọng, bao gồm một lỗ hổng upstream từ React. Team khuyến cáo nâng cấp ngay lập tức. Cộng đồng phản ứng từ "cảm ơn" đến "mệt mỏi vì update liên tục".
🚨 Nâng cấp ngay — không chỉ là khuyến nghị
Next.js team dùng từ "strongly recommend upgrading as soon as possible" — trong ngôn ngữ dev, đây là cách nói lịch sự của "update ngay hoặc hối hận sau". Các lỗ hổng này cover nhiều mức độ nghiêm trọng: high, moderate và low, bao gồm cả một issue upstream từ React.
📦 Có gì trong bản vá?
Thông tin chi tiết chưa được công bố đầy đủ (để tránh khai thác trước khi mọi người update), nhưng từ release notes có thể thấy:
- Multiple vulnerabilities across severity levels
- One upstream React issue — nghĩa là lỗ hổng này ảnh hưởng cả React ecosystem
- Backport cho cả v15 và v16 — nên dù bạn đang dùng version nào cũng cần update
💬 Cộng đồng phản ứng sao?
@Hershal0_0 nói thẳng: "'strongly recommend' là dev speak cho: update now or regret it later lol". @lautyxgr đồng tình: "lol the 'we strongly recommend upgrading asap' should tell you everything".
Nhưng cũng có người mệt mỏi. @TwitchGlobalBan than: "i cant be fucking arsed anymore, it's like we have to do updates every week". @cmhy8pmun000004 thì nói "Beginning to feel like a chore using nextjs. Genuinely a liability framework".
@JamesD3V thậm chí đã đưa việc update Next.js vào package.json như một routine. @Deep_Star_Six thì muốn automatic updates vì client chán phải build version mới liên tục.
🔍 Có breaking changes không?
@travasites hỏi về breaking changes khi upgrade từ 15.5.17. @kajtszy thắc mắc tại sao v16.2.5 hôm qua cũng fix cùng vulnerabilities mà hôm nay lại có 16.2.6. Câu trả lời: đây là patch release, thường không có breaking changes, nhưng nếu bạn dùng workarounds tạm cho lỗ hổng cũ, cần test lại.
Chốt một câu
Next.js đang ở vị thế framework phổ biến nhất React ecosystem. Mỗi lần có security patch là cả triệu app cần update. Việc này tốt cho bảo mật, nhưng cũng tạo áp lực lên dev teams. Nếu bạn chưa update, làm ngay hôm nay — không phải vì FOMO, mà vì lỗ hổng thật sự đang tồn tại.