September 2026 Security Release

2026 年 9 月安全更新 | Next.js

返回博客

2026 年 9 月 30 日 星期三

安全

2026 年 9 月安全更新

发布者

乔什·斯托里

@joshcstory

卡里姆·拉哈尔

karimpwnz

塞巴斯蒂安·西尔伯曼

sebsilbermann

上周我们宣布了 Next.js 即将发布的一次安全更新。由于上游依赖项延迟，一个关键漏洞和一个高严重性漏洞的修复被推迟。

现在 v16.3.8（活跃长期支持）和 v15.5.27（维护长期支持）版本已发布，用于解决这些问题。请更新您的 Next.js 依赖项以确保应用安全。

终端

npm
install
[email protected]
# 用于 15.5
npm
install
[email protected]
# 用于 16.3

影响范围

图像优化中的服务器端请求伪造（高严重性）

CVE-2026-94483 / GHSA-cjq9-62q9-8jv4

攻击者控制的白名单远程 URL 可能在图像优化过程中导致服务器端请求伪造（例如指向私有 IP 范围）。如果没有配置 images.remotePatterns，您的应用不受影响。

自托管 Next.js 应用中 SSG 和 ISR 页面的缓存投毒（中等严重性）

CVE-2026-94543 / GHSA-4jqv-mc3x-m676

使用 Pages 路由并生成静态（SSG）或增量再生（ISR）页面的自托管 Next.js 应用，可能因缓存条目被其他路由内容替换，导致受影响页面向所有访问者提供错误内容，直到缓存重新验证。部署在 Vercel 上的应用不受影响。

Next.js SSG/ISR 渲染中的缓存投毒导致跨用户内容替换和持续拒绝服务（中等严重性）

CVE-2026-94484 / GHSA-mcj8-r9mp-w47p

使用根级全匹配页面与静态生成或增量静态再生路由的 Next.js 应用，可能通过单个未经身份验证的精心构造请求对其共享响应缓存进行投毒。

通过动态参数绕过导致 Next.js App 路由元数据图像路由信息泄露（中等严重性）

CVE-2026-94485 / GHSA-f87g-xv8r-7p7x

使用 webpack 构建的 Next.js App 路由应用中，元数据图像路由（如 opengraph-image 和 twitter-image）会忽略 dynamicParams 路由段选项。攻击者可请求 generateStaticParams() 中故意排除的动态段的元数据图像 URL。使用 Turbopack 构建的应用不受影响。

嵌套 'use cache' 函数中根参数值跨值的缓存泄露（中等严重性）

GHSA-h694-7cp9-m8p3

启用缓存组件后，调用另一个读取根参数的 'use cache' 函数的 'use cache' 函数可能键值计算错误：外围函数的缓存键会忽略该根参数，导致为一个根参数值生成的内容可能被用于不同值，无论页面是预渲染还是动态渲染。泄露的值无法被攻击者控制。

挂起的 'use cache' 填充可能导致草稿模式内容泄露到常规响应和持久化页面（中等严重性）

CVE-2026-94544 / GHSA-3w37-wq28-93x7

待使用的缓存填充会在相同键的请求之间共享，且不区分草稿模式请求和常规请求。当常规请求与编辑器的草稿模式请求重叠时，会无任何身份验证地接收到未发布的内容；如果该请求预渲染了页面，未发布的内容可能会被持久化到生成的页面中，并提供给所有后续访问者，直到页面重新验证。如果网站启用了缓存组件（或 experimental.useCache ）并提供依赖草稿内容的缓稿模式预览，这些网站将受到影响。

Next.js 开发服务器模型上下文协议端点的信息泄露（低严重性）

CVE-2026-94486 / GHSA-39w2-rjm5-chcv

Next.js 开发服务器（ next dev ）暴露了一个模型上下文协议端点，该端点未验证请求来源的网站，允许开发者访问的恶意网站读取敏感开发数据，包括项目在磁盘上的位置、错误报告中的源代码片段、路由清单以及开发日志。仅影响使用 next dev 运行的应用程序。生产环境部署不会提供此端点。

我们的安全部门

我们与一群才华横溢的研究人员合作，通过 Vercel 的开源漏洞赏金计划保障 Next.js 及其他开源框架的安全。任何希望为符合资格的框架安全做贡献的人，都欢迎参与该计划。

有关我们的安全计划或漏洞管理的任何问题或疑虑，请发送至 [email protected] 。