Umami v3.4.1 是一次安全修复版本，23 号发布，主要在换血依赖：Next.js 一个 critical 级 RCE 和几个 SSRF、缓存投毒漏洞都在这版修掉。官方原话是「所有自托管用户都应该升级」，如果你在公网跑 Umami，这版别拖。
🔒 安全修复（重点）
1. Next.js 升到 16.4.2
从 v3.4.0 的 16.3.4 升上来，一口气修了四个问题：next/og 里的 critical 级远程代码执行（RCE）、图片优化里的 SSRF、缓存投毒、还有一个信息泄露。（#4645）
2. MCP 相关依赖修复凭据泄露
@modelcontextprotocol/server 和 client 升到 2.3.1，修掉一个 OAuth 凭据泄露漏洞（GHSA-6qxp-vccf-f47h）和几个其他安全问题。（#4661）
3. Docker 基础镜像钉到 Node 22.23.4-alpine
包含了 2026 年 10 月的 Node.js 安全修复。官方提醒：要重新 build 或重新 pull 镜像才能吃到，光改版本号不拉镜像没用。（#4657）
4. 传递依赖安全下限整体抬高
vite、undici、sharp、shell-quote、brace-expansion、fast-uri、postcss-selector-parser、source-map-js 这些间接依赖的版本下限全部提高。React 和 React DOM 也升到 19.3.1。
📋 其他变更
CI 现在会对来自 fork 的 PR 跑必需检查，Gitleaks 扫描在上一个 commit 拿不到时也能正常工作。都是工程侧的改进。
✅ 升级指引
数据库迁移：无。直接换镜像就行：
docker pull ghcr.io/umami-software/umami:v3.4.1
docker compose down && docker compose up -dDocker 用户记得 pull 新镜像，源码部署的用户 npm install 后重新 build。
❓ 常见问题
Q：我从 v3.4.0 升有风险吗？
A：没有数据库迁移，风险主要在 Next.js 大版本内升级的兼容性，官方已经替你测过了。备份一下数据库再动，两分钟的事。
Q：旧版本有已知漏洞在被利用吗？
A：Next.js 的 critical RCE 在 next/og 里，公开跑着旧版的服务建议尽快升，详情看 GHSA 通报和 #4645。
写在最后
安全热修版没什么好犹豫的，尤其你和我一样把 Umami 挂在公网上自己看数据。升完记得确认实际跑的镜像是 16.4.2 那份构建。自托管统计工具的安全维护，官方这次响应挺快的，v3.4.0 到 v3.4.1 也就几天。
🔗 发布页：https://github.com/umami-software/umami/releases/tag/v3.4.1
#Umami #网站统计 #安全更新