Vai al contenutoistheinternetok
Tutti gli incidenti

Falla di sicurezza·Critica

Next.js: due falle critiche di esecuzione di codice da remoto

Fix disponibileRiguarda chi ha un sito
Next.js, sharp

Cosa cambia per te

Niente di visibile per voi; i gestori dei siti devono aggiornare.

Next.js, un framework molto diffuso per creare siti web, ha corretto due falle critiche che potevano permettere a un aggressore di prendere il controllo di un server, più una che può far smettere di rispondere i siti. I visitatori non devono fare nulla; i proprietari di siti con Next.js devono aggiornare.

Inizio: 14 ott 2026Aggiornato: 14 ott 2026

Pubblica su X

Cosa devo fare?

Tu
Non c'è nulla da fare.
Se gestisci un sito o un'app
Aggiornate next alla 16.4.1 (16.x) o alla 15.5.28 (15.x) e rieseguite il deploy. La falla di use cache non ha soluzioni alternative. Se non potete aggiornare subito, accertatevi che la versione di sharp usata da Next.js sia la 0.35.5 o successiva.

Cosa è coinvolto

CVE-2026-96889

Cronologia

  1. Fix disponibile · 14 ott 2026

    Escono Next.js 16.4.1 e 15.5.28: correggono un'esecuzione di codice da remoto senza autenticazione nelle funzioni use cache che restituiscono array tipizzati (GHSA-673q-mjm6-r5xr), una nell'API di ottimizzazione delle immagini con SVG su Linux glibc (CVE-2026-96889) e un denial of service nelle Server Actions (GHSA-p3m5-59mp-jv5r).

    nextjs.org

  2. Identificato · 8 ott 2026

    Next.js annuncia un aggiornamento di sicurezza fuori ciclo per il 14 ottobre, che copre due problemi critici e uno di gravità alta in dipendenze a monte.

    nextjs.org

Fonti