セキュリティバグはリポジトリの境界ではなく、コールパスに従う。 Next.jsの画像リクエストがsharp + libvipsを通じてlibheifに到達した。VercelはエッジでAVIFのデコードをブロックしたが、アップストリームはパッチを適用した。 私の見解：パッケージマニフェストだけでなく、トランジティブなランタイムパスをマッピングすべきだ。 https://t.co/IaRcmESv39