Next.js Blog

Next.js Security Update for Upstream Vulnerabilities

8.5内容质量

TL;DR · AI 摘要

Next.js发布安全更新，修复了两个关键漏洞和一个高严重性漏洞，建议立即升级。

核心要点

  • 立即升级至v16.4.1或v15.5.28以修复Critical Severity漏洞
  • 使用Cache组件返回typed arrays可能导致未认证RCE（GHSA-673q-mjm6-r5xr）
  • 图像优化API处理SVG时存在RCE漏洞（CVE-2026-96889），需升级sharp至0.35.5+

结构提纲

按章节快速跳转。

  1. §安全更新公告

    Next.js发布包含三个漏洞修复的紧急安全更新

  2. ·Critical Severity漏洞1

    Cache组件返回typed arrays导致未认证RCE（GHSA-673q-mjm6-r5xr）

  3. ·Critical Severity漏洞2

    图像优化API处理SVG时存在RCE漏洞（CVE-2026-96889）

  4. ·High Severity漏洞

    Server Actions可能导致CPU资源耗尽引发DoS（GHSA-p3m5-59mp-jv5r）

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • Next.js安全更新
    • Critical漏洞修复
      • Cache组件RCE（GHSA-673q）
      • 图像优化API RCE（CVE-2026-96889）
    • High漏洞修复
      • Server Actions DoS（GHSA-p3m5）

金句 / Highlights

值得收藏与分享的关键句。

#Next.js#安全更新#漏洞修复#React
打开原文

上周我们宣布了即将推出的Next.js安全更新，包括两个因上游依赖延迟而从9月安全发布推迟的修复。

现在在v16.4.1（Active LTS）和v15.5.28（Maintenance LTS）中已提供更新，以解决这些问题。请修补您的Next.js依赖项以确保应用程序的安全性。

[复制链接到标题](https://nextjs.org/blog/nextjs-security-update-october-14-2026#impact)影响

[复制链接到标题](https://nextjs.org/blog/nextjs-security-update-october-14-2026#unauthenticated-remote-code-execution-in-use-cache-functions-returning-typed-arrays-critical-severity)`use cache` 函数返回类型化数组时的未认证远程代码执行（严重程度：关键）

**GHSA-673q-mjm6-r5xr** (Next.js)

相关上游公告：**GHSA-xqc2-xf4c-x3h3** (React)

使用App Router和缓存组件的应用程序中存在漏洞，当use cache函数返回多个类型化数组时可能导致未认证远程代码执行。目前没有已知的解决方法。即使您的应用程序没有类似功能，也应立即升级。

[复制链接到标题](https://nextjs.org/blog/nextjs-security-update-october-14-2026#unauthenticated-remote-code-execution-in-the-image-optimization-api-when-using-svg-critical-severity)使用SVG时图像优化API的未认证远程代码执行（严重程度：关键）

**CVE-2026-96889** / **GHSA-2464-fhr4-w9xw**

图像优化所使用的上游库存在内存相关漏洞，当Next.js运行在基于glibc的Linux系统时可能导致远程代码执行。作为临时解决方案，请确保Next.js使用的sharp版本为0.35.5或更高版本。升级到修复版的Next.js可确保包管理器自动为Next.js提供修复后的sharp版本。

[复制链接到标题](https://nextjs.org/blog/nextjs-security-update-october-14-2026#denial-of-service-in-app-router-using-server-actions-high-severity)使用Server Actions的App Router拒绝服务（严重程度：高）

**GHSA-p3m5-59mp-jv5r** (Next.js)

相关上游公告：**GHSA-h3gv-c5rc-p453** (React)

针对使用App Router且至少包含一个Server Action的Next.js应用程序的精心设计请求可能导致CPU使用率过高。CPU使用率会阻塞同一进程中的后续请求处理，导致拒绝服务。使用Pages Router或未使用Server Actions的应用程序不受影响。

[复制链接到标题](https://nextjs.org/blog/nextjs-security-update-october-14-2026#our-security-program)我们的安全计划

我们与一群才华横溢的研究人员合作，通过 Vercel 的开源漏洞赏金计划 保障 Next.js 及其他开源框架的安全。所有希望为符合资格的框架安全性做出贡献的人士，都欢迎参与该计划。

有关我们的安全计划或漏洞管理的任何问题或疑虑，可通过 [[email protected]](mailto:[email protected]) 联系我们。