Next.js je zakrpu pomjerio dan ranije, a broj kritičnih ranjivosti je s jedne skočio na dvije

Vercel je datum objavio prije same ispravke: 26. avgust, jedna kritična ranjivost, najavljena šest dana unaprijed da bi timovi nadogradnju zakazali umjesto da je dočekaju u dojavi o ranjivostima. Dvadeset petog avgusta se raspored promijenio. U zavisnoj biblioteci je nađena druga kritična ranjivost, pa su obje ispravljene u istom izdanju, da bi svako ko vrti Next.js morao da nadograđuje samo jednom.

Dvije rupe, i nijedna ne traži prijavu

Prva je u obradi slika. Biblioteka libheif, do koje se stiže preko paketa sharp, može se dovesti do izvršavanja koda na daljinu kad Next.js obrađuje AVIF sliku koju napadač kontroliše. Prijava je o lijeku sasvim otvorena: zakrpljena izdanja potpuno gase optimizaciju AVIF-a dok se ispravka u samoj biblioteci ne raširi. Prijava navodi dvije oznake, GHSA-2xp9-vwfh-vxw4 i GHSA-g89c-p67h-r497.

Druga, CVE-2026-75604, pogađa samo servere na Windows sistemu datoteka, i to samo aplikacije koje istovremeno koriste Pages Router i App Router bez Cache Components. Linux i macOS nisu pogođeni. Za aplikacije koje jesu, u prijavi piše da zaobilaznog rješenja nema.

Zakrpa ima cijenu, i ona je otvoreno napisana

Gašenje optimizacije AVIF-a nije sporedna posljedica ispravke nego sama ispravka. Sajt koji AVIF poslužuje kroz ugrađenu obradu slika poslije nadogradnje prelazi na druge formate, što znači krupnije datoteke na istim stranicama dok libheif ne izađe i dok Next.js format ne vrati.

Taj kompromis izdanje pravi samo, i bolje ga je znati prije nadogradnje nego poslije: izmjena se ne javi kao greška, nego kao krupnije slike na istim stranicama.