Next.js 16.4.5 i 15.5.29 ispravljaju sedam ranjivosti, a četiri su u keširanju

Next.js je 3. novembra 2026. objavio verzije 16.4.5 i 15.5.29, koje ispravljaju 7 ranjivosti u samom okviru. Najozbiljnija je visoke težine: aplikacija koja služi više klijenata (tenants) može jednom klijentu da posluži keširane podatke drugog. Još tri ranjivosti srednje težine nalaze se u kešu. Tim je izdanje najavio 27. oktobra 2026. kao ispravku sedam ranjivosti srednje težine, a konačna objava jednu od njih ocjenjuje kao ranjivost visoke težine. Zaštita je nadogradnja, komandom npm install next@16.4.5 na liniji 16, odnosno npm install next@15.5.29 na liniji 15.

Četiri ranjivosti u keširanju

Sve četiri su vezane za Cache Components, mogućnost da se funkcija označi sa 'use cache', pa se njen rezultat čuva i ponovo koristi. Višekorisničke aplikacije klijente često razdvajaju takozvanim root parametrom, na primjer identifikatorom klijenta u adresi, a keš treba da čuva te rezultate odvojeno.

Ranjivost visoke težine, GHSA-mfr8-8qww-v76h, javlja se kad se ista javna use cache funkcija koja čita root parametar poziva i direktno i iz unstable_cache. Dok se keš puni prvi put, istovremeni poziv može da dobije rezultat drugog zahtjeva. Taj rezultat se zatim čuva i služi kasnijim pozivaocima dok se ne osvježi ili ne izbaci iz keša, pa može da sadrži podatke drugog klijenta.

GHSA-vc7v-qv4w-wrv8 pogađa ugniježđene keširane funkcije: spoljni zapis može da bude sačuvan prije nego što unutrašnja funkcija zabilježi od kojeg root parametra zavisi. GHSA-rhh4-g77r-r9qj pogađa binarne argumente, jer dvije različite vrijednosti mogu da dobiju isti ključ u kešu, pa jedan korisnik dobija keširani rezultat drugog. Next.js navodi da nijedna od te dvije ranjivosti ne dopušta ubacivanje proizvoljnog sadržaja ni čitanje nepovezanih zapisa iz keša.

Četvrta se odnosi na samostalno hostovane aplikacije pokrenute komandom next start, koje koriste Cache Components a Partial Prefetching im je isključen ili nije postavljen. Posebno sastavljen zahtjev bez prijave može da zatruje ljusku stranice koju dijele druge adrese. Posljedica je pogrešan sadržaj koji server iscrtava ili trajni odgovori 404. Objava za ovu ranjivost ne navodi GHSA identifikator, a podešavanja s uključenim Partial Prefetching u prijavljenim testovima nisu bila pogođena.

Kolačići, proksiji i slike

GHSA-f3mh-rxg3-f5g2 pogađa Edge Route Handlers i Edge API rute koje kolačić postavljaju preko NextResponse.cookies.set(). Vrijednost kolačića tada može da završi u internom zaglavlju x-middleware-set-cookie, koje JavaScript s istog porijekla može da pročita i kad je kolačić označen kao HttpOnly. Za zloupotrebu je potreban napadačev JavaScript koji se već izvršava na istom porijeklu. Node.js Route Handlers i cookies().set() u reprodukciji nisu bili pogođeni.

GHSA-pc58-hwjq-p385 pogađa samostalno hostovane aplikacije koje nepromijenjen vraćaju preuzeti Response pod kontrolom napadača. Iza HTTP/1.1 obrnutog proksija koji zahtjeve više klijenata redom šalje kroz jednu zajedničku vezu prema serveru, odgovor može da stigne pogrešnom klijentu. Next.js navodi da to zavisi baš od takvog ponašanja proksija, a ne od svakog obrnutog proksija.

GHSA-7qx7-33qx-rqx2 dopušta da slika s dozvoljenog izvora prođe kao AVIF i zaobiđe podešavanje images.dangerouslyAllowSVG: false, pa je server ipak dekodira kao SVG. Spisak dozvoljenih izvora slika i dalje važi, a ranjivost traži izvorni pozadinski sistem za slike koji umije da dekodira SVG. Next.js navodi da ovaj nalaz sam po sebi ne pokazuje XSS ni izvršavanje koda na daljinu.

Koju verziju instalirati

Ispravke su u verzijama 16.4.5 i 15.5.29. Objava ne navodi raspon pogođenih verzija i ne kaže da li su aplikacije na Vercelu zaštićene na nivou platforme.

• Na liniji 16 instalira se 16.4.5.
• Na liniji 15 instalira se 15.5.29.