Next.js ve TanStack Start için güvenlik güncellemesi, ViraStack Address desteği

• Yeni Next.js projeleri artık 16.2.11 yerine Next.js ~16.4.3 ve React ^19.3.1 ile kuruluyor; sürüm aralığı sayesinde 16.4 hattının patch sürümlerini kendiliğinden alıyor.
• Yeni TanStack Start projelerinde src/start.ts artık server function'ları createCsrfMiddleware ile koruyor, başka siteden gelen istekler 403 alıyor.
• CLI, kurulumdaki araç sorusunda @virastack/address paketini de sunuyor; --tools address ve add address ile de eklenebiliyor.

• Next.js 2026'da Image Optimization API ve next/og gibi alanlarda kritik remote code execution açıklarını yamaladı; 16.2.11 bu yamaların dışında kalıyor.
• TanStack Start CSRF korumasını otomatik kuruyor, ama proje kendi src/start.ts dosyasını tanımlarsa bunu yapmıyor. Şablonda bu dosya vardı, bu yüzden server function ekleyen projeler korumasız kalıyordu.
• @virastack/address, diğer ViraStack araçları gibi kurulumdan seçilebilsin diye eklendi.

• August 2026 Security Release (Next.js)
• Next.js Security Update for a Critical Upstream Issue (Next.js)
• Next.js Security Update for Upstream Vulnerabilities (Next.js)
• CSRF Middleware (TanStack Start)

• 670d487 Next.js and React security update
• 7e11e52 TanStack Start CSRF protection
• 8109215 @virastack/address option

Bu sürüm mevcut projeleri değiştirmez. Next.js 16.2 veya 16.3 kullanan projeleri kendin yükselt. TanStack Start projende src/start.ts varsa middleware'i ekle ve requestMiddleware listendeki diğer middleware'leri koru.

pnpm add next@16.4.3 react@19.3.1 react-dom@19.3.1
pnpm add -D eslint-config-next@16.4.3

// src/start.ts
import { createCsrfMiddleware, createStart } from "@tanstack/react-start";
 
const csrfMiddleware = createCsrfMiddleware({
  filter: (ctx) => ctx.handlerType === "serverFn",
});
 
export const startInstance = createStart(() => ({
  requestMiddleware: [csrfMiddleware],
}));