Next.js 16.4.1 i 15.5.28 zatvaraju dvije kritične ranjivosti koje dopuštaju izvršavanje koda

Next.js je 14. oktobra 2026. objavio verzije 16.4.1 i 15.5.28, koje ispravljaju tri ranjivosti u paketima od kojih okvir zavisi. Dvije su ocijenjene kao kritične, jer napadač bez naloga može da pokrene kod na serveru. Treća je visoke težine: posebno sastavljeni zahtjevi mogu da zauzmu serverski proces. Tim je izdanje najavio 8. oktobra 2026. i naveo da su dvije od tri ispravke odložene iz septembarskog izdanja. Jedina potpuna zaštita je nadogradnja, komandom npm install next@16.4.1 na liniji 16, odnosno npm install next@15.5.28 na liniji 15.

Dvije kritične ranjivosti dopuštaju izvršavanje koda

Prva, GHSA-673q-mjm6-r5xr, pogađa aplikacije koje koriste App Router zajedno s Cache Components. Cache Components omogućavaju da se funkcija označi sa 'use cache', pa se njen rezultat čuva i ponovo koristi. Kad takva funkcija vraća više tipizovanih nizova (typed arrays), neautentifikovan napadač može da izvrši kod na serveru. Ranjivost je povezana sa savjetom za React GHSA-xqc2-xf4c-x3h3. Zaobilaznog rješenja nema, a Next.js savjetuje nadogradnju i aplikacijama koje takvu funkciju nemaju.

Druga, CVE-2026-96889, nalazi se u biblioteci kojom optimizacija slika obrađuje slike. Riječ je o memorijskoj ranjivosti koju može da izazove SVG datoteka, a do izvršavanja koda dovodi kad Next.js radi na Linuxu zasnovanom na glibc, standardnoj biblioteci jezika C u većini Linux distribucija. Za nju postoji privremeno rješenje: aplikacija treba da koristi sharp 0.35.5 ili noviji. Nadogradnja Next.js-a ispravljeni sharp donosi sama.

Ranjivost visoke težine može da zaustavi server

GHSA-p3m5-59mp-jv5r pogađa aplikacije s App Routerom koje imaju bar jednu Server Action, funkciju koja se izvršava na serveru kad je pozove obrazac ili dugme. Posebno sastavljeni zahtjevi toliko opterete procesor da isti proces prestaje da obrađuje druge zahtjeve, što je uskraćivanje usluge. Ranjivost je povezana sa savjetom za React GHSA-h3gv-c5rc-p453. Aplikacije s Pages Routerom i one bez ijedne Server Action nisu ranjive.

Koju verziju instalirati

Ispravke postoje samo u verzijama 16.4.1 i 15.5.28. Objava ne kaže da li su aplikacije koje se hostuju na Vercelu zaštićene na nivou platforme.

• Na liniji 16 instalira se 16.4.1. Zakrpe za 16.3 nema, pa aplikacija na 16.3 mora da pređe na 16.4.
• Na liniji 15 instalira se 15.5.28.
• Ako nadogradnja nije moguća odmah, sharp 0.35.5 ili noviji zatvara samo ranjivost u optimizaciji slika.