Next.js gebündeltes picomatch CVE-2026-33671-Repro

Minimale Reproduktion für: Next.js 16.2.4 wird mit picomatch 4.0.3 ausgeliefert, das unter node_modules/next/dist/compiled/picomatch/ gebündelt ist und von CVE-2026-33671 (HOCH) betroffen ist. npm-overrides können die gebündelte Kopie nicht erreichen.

Schritte

npm install

1. Die gebündelte Kopie prüfen

cat node_modules/next/dist/compiled/picomatch/package.json
# → {"name":"picomatch","main":"index.js",...}  (Versionsfeld entfernt)

2. Mit Trivy scannen

npx next build
docker build -t next-picomatch-repro .
trivy image next-picomatch-repro

Erwartete Ausgabe:

picomatch (package.json) | CVE-2026-33671 | HIGH | fixed | 4.0.3 | 4.0.4

3. Beweisen, dass overrides nicht hilft

package.json kann erweitert werden mit:

"overrides": {
  "picomatch": "4.0.4"
}

Dies installiert korrekt node_modules/[email protected], aber node_modules/next/dist/compiled/picomatch/ bleibt auf 4.0.3, da es im eigenen Tarball von Next gebündelt ist.

Erwarteter Fix

Next.js veröffentlicht einen Patch-Release mit dist/compiled/picomatch/, das aus picomatch ≥ 4.0.4 neu gebündelt wurde. Nachgelagerte Verbraucher erhalten es dann über den normalen npm install.