Zależności pełne podatności po npm audit?
14 października 2026, dziesięć miesięcy po React2Shell, React opublikował kolejne ostrzeżenie o luce w React Server Components, która pozwalała bez logowania zdalnie wykonać kod. Ma ocenę CVSS 9,5, a poprawki są tylko w wersjach 19.0.9, 19.1.10, 19.2.9 i 19.3.1. Im dłużej czekają aktualizacje, tym większy skok, gdy nagle trzeba łatać.
Aktualizuję zależności falami, z których każdą da się cofnąć osobno, typową apkę często w jeden wieczór. Gdy wyszedł React2Shell, apki klientów załatałem tego samego dnia. W październiku 2026 sprowadziłem produkt z 313 podatnych wpisów w npm, w tym 15 krytycznych, do zera we wszystkich 42 paczkach, a cotygodniowy skan kończy się teraz błędem przy każdej nowej podatności.
Aktualizacje i CI/CD