Një analizë e kryer më 21 tetor 2026 gjeti se 231 nga 274 aplikacione të braktisura, të krijuara me v0 dhe me version të identifikueshëm të Next.js, deklaronin versione të prekura nga React2Shell (CVE-2025-55182). Kjo cenueshmëri mundëson ekzekutimin e kodit në distancë dhe figuron në listën e CISA-s si e shfrytëzuar aktivisht që nga 5 dhjetori 2025.
Nga këto aplikacione, 226 përdornin pikërisht Next.js 15.2.4. Vetëm tre kishin Next.js 16 dhe asnjë nuk përdorte versionin aktual të korrigjuar, 16.4.2. Sipas politikës dyvjeçare të mbështetjes, Next.js 15 doli nga mbështetja e sigurisë më 21 tetor 2026, duke lënë 271 nga 274 aplikacionet në versione madhore jashtë mbështetjes.
Studiuesit përzgjodhën 398 projekte publike në GitHub, të krijuara nga janari deri në gusht 2025, pa përditësime pas shtatorit 2025 dhe me një adresë aplikacioni. Prej tyre, 304 ende shërbenin një faqe. Versionet u lexuan nga kodi JavaScript i shërbyer publikisht, pa tentativa shfrytëzimi apo hyrjeje; adresat nuk publikohen.
Përqendrimi te 15.2.4 lidhet me skedarin package.json të projekteve të gjeneruara: varësia «next» ishte fiksuar në këtë version, pa interval versionesh. Kështu, riinstalimi, rindërtimi ose ripublikimi nuk sillte automatikisht përditësime. Matja identifikon versionet e deklaruara, jo shfrytëzime të konfirmuara të aplikacioneve.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
