远程代码执行

Next.js在10月14日发了两个补丁版本，16.4.1和15.5.28，修的是三个问题，其中两个评为Critical。这批修复本来排在9月的安全版本里，因为上游依赖没跟上才单独发了一次带外更新。两个Critical的编号是GHSA-673q-mjm6-r5xr和CVE-2026-96889，查公告时按这两个找。第一个洞影响AppRouter加CacheComponents的应用，触发点是use