A Vercel publicou o Next.js 16.2.6 como uma versão voltada para segurança, e essa não parece ser uma daquelas atualizações que dá para deixar para depois. O pacote corrige 13 alertas envolvendo negação de serviço, bypass em middleware.js e proxy.js, SSRF, cache poisoning e XSS. Na prática, o alerta afeta aplicações que usam esses arquivos para autorização, além de projetos com App Router, Pages Router com i18n, Server Components, Cache Components, Image Optimization API, WebSocket, CSP nonces e scripts beforeInteractive com dados não confiáveis. A lista também menciona problemas em rotas segment-prefetch, injeção em dynamic route parameter, SSRF em conexões WebSocket e falhas de cache em respostas de React Server Component. A recomendação oficial foi bem direta: “A única solução completa é a aplicação de patches, e todos os usuários afetados devem atualizar imediatamente.”. A Vercel também explicou que não há novas regras de WAF capazes de resolver essa leva de falhas de forma confiá...