انتقل إلى المحتوىistheinternetok
كل الحوادث

ثغرة أمنية·حرجة

Next.js: ثغرتان حرجتان لتنفيذ الشيفرة عن بعد

الإصلاح متاحتؤثر على أصحاب المواقع
Next.js, sharp

ما الذي يتغير بالنسبة لك

لا شيء ظاهر بالنسبة لكم؛ على أصحاب المواقع التحديث.

أصلح Next.js، وهو إطار عمل شائع لبناء المواقع، ثغرتين حرجتين كان بوسعهما تمكين مهاجم من السيطرة على خادم، إضافة إلى ثغرة قد توقف المواقع عن الاستجابة. لا يحتاج الزوار إلى فعل شيء، أما أصحاب المواقع التي تستخدم Next.js فعليهم التحديث.

بدأت 14 أكتوبر 2026حُدِّثت 14 أكتوبر 2026

انشر على X

ماذا أفعل؟

أنت
لا شيء مطلوب منك.
إذا كنت تدير موقعًا أو تطبيقًا
حدّثوا next إلى 16.4.1 (للفرع 16.x) أو 15.5.28 (للفرع 15.x) وأعيدوا النشر. ثغرة use cache ليس لها حل بديل. وإن تعذر التحديث فورًا، فتأكدوا أن نسخة sharp التي يستخدمها Next.js هي 0.35.5 أو أحدث.

ما المتأثر

CVE-2026-96889

الجدول الزمني

  1. الإصلاح متاح · 14 أكتوبر 2026

    صدور Next.js 16.4.1 و15.5.28: يصلحان تنفيذ شيفرة عن بعد دون مصادقة في دوال use cache التي تعيد مصفوفات مكتوبة (GHSA-673q-mjm6-r5xr)، وتنفيذ شيفرة عن بعد في واجهة تحسين الصور مع SVG على Linux بمكتبة glibc (CVE-2026-96889)، وحجب خدمة في Server Actions (GHSA-p3m5-59mp-jv5r).

    nextjs.org
  2. تم تحديدها · 8 أكتوبر 2026

    يعلن Next.js عن تحديث أمني استثنائي في 14 أكتوبر يشمل مشكلتين حرجتين وأخرى عالية الخطورة في مكتبات يعتمد عليها.

    nextjs.org

المصادر