Sürüm notları

Yeni Next.js projeleri artık 16.2.11 yerine Next.js ~16.4.3 ve React ^19.3.1 ile kuruluyor. Next.js sürüm aralığı sayesinde yeni projeler 16.4 hattının patch sürümlerini kendiliğinden alıyor.

Next.js 2026'da Image Optimization API ve next/og gibi alanlarda kritik remote code execution açıklarını yamaladı. 16.2.11 bu yamaların dışında kalıyor.

• Next.js Security Update, August 2026 (Next.js)
• Next.js Security Update for a Critical Upstream Issue, September 22, 2026 (Next.js)
• Next.js Security Update, October 14, 2026 (Next.js)

Bu sürüm mevcut projeleri değiştirmez. Next.js 16.2 veya 16.3 kullanan projeleri kendin yükselt.

pnpm add next@16.4.3 react@19.3.1 react-dom@19.3.1
pnpm add -D eslint-config-next@16.4.3

Yeni TanStack Start projelerinde src/start.ts artık server function'ları createCsrfMiddleware ile koruyor. Başka siteden gelen istekler 403 alıyor.

TanStack Start, CSRF korumasını otomatik kuruyor, ama proje kendi src/start.ts dosyasını tanımlarsa bunu yapmıyor. Şablonda bu dosya vardı, bu yüzden server function ekleyen projeler korumasız kalıyordu.

• CSRF Middleware (TanStack Start)

Mevcut bir projede src/start.ts varsa middleware'i kendin ekle ve requestMiddleware listende bulunan diğer middleware'leri koru.

// src/start.ts
import { createCsrfMiddleware, createStart } from "@tanstack/react-start";
 
const csrfMiddleware = createCsrfMiddleware({
  filter: (ctx) => ctx.handlerType === "serverFn",
});
 
export const startInstance = createStart(() => ({
  requestMiddleware: [csrfMiddleware],
}));