Next.js 通过紧急带外更新修复两个严重的未经身份验证远程代码执行漏洞

sec随谈
sec随谈

sec随谈

2026年10月16日 09:01
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

摘要
Vercel 于 2026 年 10 月 14 日通过带外（out-of-band）发布，推出了 Next.js 16.4.1 和 15.5.28。这次 Next.js 安全更新修复了两个严重的未经身份验证远程代码执行漏洞，以及一个高危拒绝服务漏洞。开发者应立即升级。

为何重要
Next.js 为现代 React 网站的很大一部分提供支持。三个漏洞中有两个无需登录，因此任何运行受影响版本的公开应用都可能面临风险。本次发布还包含两个从 9 月推迟的修复，当时是为了等待上游依赖项跟进。

攻击原理

“use cache” 函数中的 RCE（严重）
该漏洞编号为 GHSA-673q-mjm6-r5xr，影响使用 App Router 和 Cache Components 的应用。当某个 “use cache” 函数返回多个类型化数组时，就可能实现远程代码执行。根本原因出在 React 中，对应一份相关的上游公告。

通过 SVG 在图像优化中实现的 RCE（严重）
CVE-2026-96889 源于上游 sharp 图像库中的内存缺陷。当 Next.js 运行在基于 glibc 的 Linux 上时，它可能导致远程代码执行。

Server Actions 中的拒绝服务（高危）
特制的请求可使使用 App Router 和 Server Actions 的应用 CPU 占用率飙升，从而阻塞同一进程中的后续请求。

利用情况
Vercel 未报告真实环境中的利用，同样，也没有确认的公开概念验证（PoC）。

受影响版本

• “use cache” RCE 影响 Next.js 16.0.0 至 16.4.0。
• Server Actions 拒绝服务影响 13.0.0 至 15.5.27 以及 16.0.0 至 16.4.0。

补丁与缓解措施

• 升级到 Next.js 16.4.1 或 15.5.28。
• 如果暂时无法升级，请确保 sharp 版本为 0.35.5 或更高，以阻止 SVG 漏洞。

Next.js 安全更新公告警告称，针对 “use cache” 漏洞没有变通方案。事实上，团队敦促用户立即升级，即使应用中没有类似的函数。这次 Next.js 安全更新应当被列为首要任务。

参考链接：

https://nextjs.org/blog/nextjs-security-update-october-14-2026