belazy167/next-picomatch-cve-repro# Next.js 16.2.4에서 picomatch 4.0.3(CVE-2026-33671) 번들링에 대한 최소 재현
최소 재현: Next.js 16.2.4는 node_modules/next/dist/compiled/picomatch/에 벤더링된 picomatch 4.0.3을 포함하며, 이는 CVE-2026-33671(HIGH)의 영향을 받습니다. npm overrides는 번들된 복사본에 도달할 수 없습니다.
npm install
cat node_modules/next/dist/compiled/picomatch/package.json
# → {"name":"picomatch","main":"index.js",...} (version 필드 제거됨)
npx next build
docker build -t next-picomatch-repro .
trivy image next-picomatch-repro
예상 출력:
picomatch (package.json) | CVE-2026-33671 | HIGH | fixed | 4.0.3 | 4.0.4
overrides가 도움이 되지 않음을 증명package.json에 다음을 추가할 수 있습니다:
"overrides": {
"picomatch": "4.0.4"
}
이렇게 하면 node_modules/[email protected]가 올바르게 설치되지만, node_modules/next/dist/compiled/picomatch/는 Next 자체 tarball 내부에 번들되어 있기 때문에 4.0.3으로 유지됩니다.
Next.js는 picomatch ≥ 4.0.4로 재번들된 dist/compiled/picomatch/가 포함된 패치 릴리스를 게시합니다. 그러면 하위 소비자는 일반적인 npm install을 통해 이를 받게 됩니다.