Next.js 16.3.8 i 15.5.27 zatvaraju sedam ranjivosti, a kritična zakrpa je odgođena

Izdanje je najavljeno sedmicu ranije, 23. septembra, i objavljeno je u zakazani dan. Između najave i zakrpe promijenio se broj: planirano je devet opisa ranjivosti, a objavljeno ih je sedam. Dvije preostale, ocijenjene kao kritična i visoka, čekaju ispravku u paketu od kojeg Next.js zavisi i biće objavljene u kasnijem izdanju. Nadogradnja ide komandom npm install next@16.3.8 na liniji 16.x, odnosno npm install next@15.5.27 na liniji 15.x.

Ranjivost visoke težine: SSRF kroz optimizaciju slika

Ranjivost CVE-2026-94483 pogađa optimizator slika. Udaljena adresa koja odgovara nekom od dozvoljenih obrazaca, a pod kontrolom je napadača, može da natjera server da dohvata druge adrese, uključujući privatne opsege IP adresa. Uslov je uzak: aplikacija koja nema podešeno images.remotePatterns nije pogođena.

Ispravka je u obje linije izdanja. Da li se spisak dozvoljenih adresa može zloupotrijebiti zavisi od širine obrazaca, pa džoker za domaćina na tom spisku zaslužuje posebnu provjeru.

Pet srednje težine: keš koji poslužuje pogrešnu stranicu

Tri od pet opisa srednje težine tiču se keša. CVE-2026-94543 pogađa aplikacije s Pages Routerom na sopstvenom hostingu, sa statički generisanim ili inkrementalno regenerisanim stranicama. Unos jedne stranice u kešu može biti zamijenjen sadržajem druge rute, pa svaki posjetilac vidi pogrešnu stranicu dok se unos ne obnovi. Aplikacije na Vercelu nisu pogođene.

CVE-2026-94484 traži stranicu koja hvata sve putanje na korijenu sajta, u kombinaciji sa statičkim ili ISR rutama. Jedan neautentifikovan, posebno sastavljen zahtjev može da otruje zajednički keš odgovora. Next.js posljedicu opisuje kao zamjenu sadržaja između korisnika i trajno uskraćivanje usluge.

Dva opisa odnose se na Cache Components. U GHSA-h694-7cp9-m8p3 funkcija označena sa 'use cache' poziva drugu takvu funkciju koja čita korijenski parametar, a ključ keša ostaje bez tog parametra. Sadržaj napravljen za jednu vrijednost tada se poslužuje za drugu, ali napadač ne bira koje vrijednosti cure. U CVE-2026-94544 popuna keša koja je u toku dijeli se između zahtjeva u režimu Draft Mode i običnog zahtjeva. Običan posjetilac tako može dobiti neobjavljen sadržaj, a ako taj zahtjev unaprijed generiše stranicu, sadržaj nacrta ostaje u njoj do obnove.

Peti, CVE-2026-94485, otkriva podatke u aplikacijama s App Routerom izgrađenim uz webpack. Rute za slike metapodataka, kao što je opengraph-image, zanemaruju opciju dynamicParams. Napadač zato može da zatraži slike za dinamičke segmente koji su namjerno izostavljeni iz generateStaticParams(). Izgradnje uz Turbopack nisu pogođene.

Ranjivost niske težine je u razvojnom serveru

CVE-2026-94486 postoji samo u razvojnom serveru. Komanda next dev izlaže krajnju tačku protokola Model Context Protocol (MCP) koja ne provjerava s kojeg sajta zahtjev dolazi. Zlonamjerna stranica otvorena u pregledaču dok razvojni server radi može da pročita putanju projekta na disku, isječke koda iz izvještaja o greškama, spisak ruta i razvojne zapise. Produkcijska okruženja tu krajnju tačku ne poslužuju.

Ocjena niske težine odgovara propustu koji traži da programer posjeti neprijateljsku stranicu. Iz toga se ipak može zaključiti da je ovo jedina stavka na spisku koja dopire do računara na kojem se radi, a ne do servera. Zato se nadograđuje i laptop.

Šta je još otvoreno

Najava od 23. septembra dopunjena je 30. septembra napomenom da dva preostala opisa, jedan kritičan i jedan visoke težine, čekaju usklađivanje s paketom od kojeg Next.js zavisi i da će biti riješeni u kasnijem izdanju. Datum nije naveden. Na npm-u je 16.3.8 označen kao latest, a 15.5.27 kao backport; obje verzije objavljene su 30. septembra.

• Nadogradnja: npm install next@16.3.8 na liniji 16.x, npm install next@15.5.27 na liniji 15.x.
• Pages Router sa SSG ili ISR stranicama na sopstvenom hostingu: CVE-2026-94543 odnosi se na takve aplikacije, a ne na Vercel.
• Cache Components ili experimental.useCache uz preglede u režimu Draft Mode: odnosi se CVE-2026-94544.
• Izgradnje uz webpack s rutama za slike metapodataka: odnosi se CVE-2026-94485, a Turbopack je izuzet.