Next.js 爆出两个未认证 RCE 漏洞，官方催促立即升级
rez0__ · x · 2026-10-16
Next.js 发布带外安全更新，修复两个严重级未认证远程代码执行(RCE)漏洞及一个高危 DoS 漏洞。
- use cache 漏洞：App Router + Cache Components 下，use cache 函数返回多个 typed arrays 时可被未认证 RCE，无 workaround，即使应用没有类似函数也建议立即升级(关联上游 React 漏洞 GHSA-xqc2-xf4c-x3h3)。
- 图片优化 API 漏洞(CVE-2026-96889):glibc Linux 上，SVG 图片优化路径存在内存漏洞可致 RCE;临时方案是确保 sharp ≥ 0.35.5。
- Server Actions DoS(高危)：构造请求可致拒绝服务。
修复版本：v16.4.1(Active LTS)与 v15.5.28(Maintenance LTS),npm install [email protected] 即可升级。
所属事件:Next.js 爆两个未认证 RCE 严重漏洞，官方催促立即升级(2 条相关)→
「安全」频道最新
- Anthropic 发布 Cyber Mission:保护电网与开源软件安全 — inductionheads · 2026-10-23
- FAS 推出 Metascience Fellowship：年薪 17.4 万美元进驻 DOE 影响科研政策 — Afinetheorem · 2026-10-23
- 佛州总检察长请求法院叫停 OpenAI 未经第三方审批训练新模型 — imjustnewatai · 2026-10-23
- OpenAI 将参加 Prompt2PWN AI 黑客大会，与研究者面对面找漏洞 — OpenAIDevs · 2026-10-23
- AI 揭穿阴谋论研究风波落幕：Science 撤回关注声明，结论不变 — DG_Rand · 2026-10-23
- Chamath：银行将率先用服务条款封杀 AI Agent — nicolechirps · 2026-10-23