Next.js 16.4.1 og 15.5.28 tetter to kritiske RCE-hull i use cache og SVG-optimalisering

For tredje gang siden august gir bildebehandlingen i Next.js et hull som åpner for kodekjøring, skriver The Hacker News. I august var det libheif, i september next/og, og nå er det en minnefeil i librsvg, som Next.js når gjennom sharp. Vercel retter den i et ekstraordinært sikkerhetsslipp 14. oktober, sammen med et nytt hull i React Server Components og et DoS-hull i Server Actions.

Det første kritiske hullet (GHSA-673q-mjm6-r5xr) rammer versjon 16.0.0 til 16.4.0 med App Router og Cache Components, når en use cache-funksjon returnerer flere typede arrayer. Det finnes ingen omvei.

«Du bør oppgradere umiddelbart, selv om applikasjonen din ikke har lignende funksjoner.» — Vercel, i sikkerhetsvarselet

Det andre (CVE-2026-96889) gir kodekjøring via SVG-filer når Next.js kjører på glibc-basert Linux. Bildeoptimalisereren tar bare SVG hvis du har slått på dangerouslyAllowSVG, men samme bibliotek tegner også bilder for next/og på Node.js-runtime. Vercel setter CVSS 9,5 på begge, mens Red Hat scorer selve librsvg-feilen til 7,8. DoS-hullet rammer App Router-apper med minst én Server Action, der laget forespørsler kan låse en prosess på full CPU.

Det er to fallgruver. På 15-grenen godtar 15.5.28 fortsatt den sårbare sharp 0.34.x, så en oppgradering over en eksisterende installasjon kan la den gamle versjonen bli liggende. Og per 15. oktober hadde verken use cache- eller Server Actions-varselet noen CVE eller oppføring i npm-feeden som npm audit bruker, så skanneren din varsler kanskje ikke. Det er ingen kjente angrep.

Hva bør du gjøre?

1. Kjør npm install next@16.4.1 eller npm install next@15.5.28, bygg på nytt og deploy.
2. Kjør npm ls sharp på 15-grenen og oppdater sharp til 0.35.5 eller nyere hvis den er eldre.
3. Kan du ikke oppgradere Next.js i dag, oppdater sharp eller blokker SVG i sharp med sharp.block, men husk at use cache-hullet bare lukkes av oppgraderingen.