安全漏洞·严重

Next.js：两个严重的远程代码执行漏洞

已有修复影响网站站长

Next.js, sharp

对你有什么影响

对你没有可见影响；网站所有者需要更新。

Next.js 是一个常用的网站开发框架。它修复了两个严重漏洞，攻击者可借此接管服务器，另有一个漏洞会让网站停止响应。访问者无需操作；使用 Next.js 的网站所有者应当更新。

开始于 2026年10月14日更新于 2026年10月14日

我该怎么办？

你: 无需操作。
如果你运营网站或应用: 请把 next 升级到 16.4.1（16.x）或 15.5.28（15.x）并重新部署。use cache 漏洞没有临时解决办法。如果暂时无法升级，请确保 Next.js 使用的 sharp 版本为 0.35.5 或更高。

已有修复 · 2026年10月14日
Next.js 16.4.1 和 15.5.28 发布，修复了返回类型化数组的 use cache 函数中无需认证的远程代码执行（GHSA-673q-mjm6-r5xr）、glibc Linux 上图片优化 API 处理 SVG 时的远程代码执行（CVE-2026-96889），以及 Server Actions 中的拒绝服务问题（GHSA-p3m5-59mp-jv5r）。
nextjs.org
已定位 · 2026年10月8日
Next.js 宣布将在 10 月 14 日发布一次计划外的安全更新，涉及上游依赖中的两个严重问题和一个高危问题。
nextjs.org