Next.js je zakrpu pomjerio dan ranije, a broj kritičnih rupa je s jedne skočio na dvije

Vercel je datum objavio prije same ispravke: 26. avgust, jedna kritična ranjivost, najavljena sedmicu unaprijed da bi timovi nadogradnju zakazali umjesto da je dočekaju u dojavi o ranjivostima. Dvadeset petog avgusta se raspored promijenio. U zavisnoj biblioteci je nađena druga kritična ranjivost, pa su obje ispravljene u istom izdanju, da bi svako ko vrti Next.js morao da nadograđuje samo jednom.

Dvije rupe, i nijedna ne traži prijavu

Prva je u obradi slika. Biblioteka libheif, do koje se stiže preko paketa sharp, može se dovesti do izvršavanja koda na daljinu kad Next.js obrađuje AVIF sliku koju napadač kontroliše. Prijava je o lijeku sasvim otvorena: zakrpljena izdanja potpuno gase optimizaciju AVIF-a dok se ispravka u samoj biblioteci ne raširi. Nosi dvije oznake, GHSA-2xp9-vwfh-vxw4 na strani Next.js-a i GHSA-g89c-p67h-r497 na strani libheifa.

Druga, CVE-2026-75604, dohvata samo servere na Windows sistemu datoteka, i to samo aplikacije koje istovremeno koriste Pages Router i App Router bez Cache Components. Linux i macOS nisu pogođeni. Za aplikacije koje jesu, u prijavi piše da zaobilaznog rješenja nema.

Zakrpa ima cijenu, i ona je otvoreno napisana

Gašenje optimizacije AVIF-a nije sporedna posljedica ispravke nego sama ispravka. Sajt koji AVIF poslužuje kroz ugrađenu obradu slika poslije nadogradnje pada na druge formate, što znači krupnije datoteke na istim stranicama dok libheif ne izađe i dok Next.js format ne vrati.

To je pogodba koju izdanje sklapa umjesto tebe i vrijedi je znati prije nadogradnje, a ne poslije, jer se izmjena ne javi kao greška nego kao tiho gojenje slika.