周下载4500万！Next.js曝出双高危RCE漏洞，Windows环境风险极高
小雪
小雪
看雪学苑
2026年8月26日 18:06
上海
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
Vercel 近日修复了 Next.js 框架的两处关键高危安全漏洞，均允许攻击者在无需身份认证的条件下实现远程代码执行（RCE）。其中 CVE‑2026‑75604 CVSS 9.0，另一处AVIF图片解析漏洞CVSS评分高达9.5。
Next.js npm周下载量达到4500万次，大量企业生产环境在使用该框架，受影响面十分广泛，建议运维人员尽快完成版本修复。
漏洞危害说明
Next.js作为主流全栈Web开发框架，被全球众多大型企业业务所使用。本次两个漏洞均为无需登录认证即可触发，攻击门槛极低。
如果服务器未完成补丁更新，攻击者有可能直接实现服务器完全沦陷，接管业务服务。
漏洞1：CVE‑2026‑75604（路径遍历漏洞，CVSS 9.0）
该漏洞为路径遍历缺陷，仅Windows文件系统环境下会触发远程代码执行。
- 影响范围：Pages Router、App Router（未使用Cache Component）的应用
- 受影响版本：13.4 ~ 15.5.24；16.0 ~ 16.3.3
⚠️ 该漏洞没有临时缓解方案，只能升级版本修复。
漏洞2：AVIF图片优化API漏洞（CVSS 9.5）
漏洞来源于sharp依赖库使用的libheif组件，在处理AVIF格式图片时存在缺陷。
攻击者构造恶意AVIF图片，经过图片优化接口处理后，即可在服务端执行恶意代码。
- 受影响版本：10.0.0 ~ 15.5.24；小于16.3.3版本
野外利用情况
目前官方公告暂未监测到公网已经出现实际利用攻击，也暂未出现公开的PoC验证代码，但高危漏洞一旦公开，很快会出现利用工具，务必提前处置。
修复与缓解措施
- 优先升级版本
升级至 15.5.24 或者 16.3.3 版本，这两个版本已经修复全部两处漏洞。
- 临时缓解（仅针对AVIF图片漏洞）
在完成升级前，可以临时关闭AVIF图片优化功能，降低该漏洞攻击风险。
- 参考官方安全公告
-
GHSA‑p293‑qw3h‑jr36
-
GHSA‑2xp9‑vwfh‑vxw4
资讯来源：securityonline.info、Vercel Next.js安全公告
球分享
球点赞
球在看
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论