Next.js 爆两个未认证 RCE 严重漏洞，官方催促立即升级

Next.js 发布带外安全更新，修复两个严重级未认证远程代码执行漏洞及一个高危 DoS 漏洞。其中一个编号为 GHSA-673q-mjm6-r5xr，评分高达 9.5/10，影响使用 App Router 且启用 Cache Component(use cache)的应用，当缓存返回类型为数组时即可被利用。另一个漏洞同样存在于 App Router 的缓存组件中。官方强烈建议用户立即升级到最新版本。

2026-10-16 ~ 2026-10-16 · 2 条相关

• Next.js 爆严重 RCE 漏洞，use cache 返回类型数组即中招 — jedisct1 · 2026-10-16
• Next.js 爆出两个未认证 RCE 漏洞，官方催促立即升级 — rez0__ · 2026-10-16