Next.js מפרסמת עדכון חירום לשתי פגיעויות הרצת קוד ופגיעות DoS

צוות Next.js פרסם ב-14 באוקטובר 2026 עדכון מחוץ למחזור הרגיל, שמתקן שתי פגיעויות שעלולות להוביל להרצת קוד, ופגם נוסף של מניעת שירות. נכון ל-15 באוקטובר אין דיווחים על ניצול של אחת מהן.

מה קרה

הפגיעות הראשונה (GHSA-673q-mjm6-r5xr, ציון 9.5 לפי Vercel) נוגעת ליישומי App Router בגרסה 16 עם Cache Components, שבהם פונקציית use cache מחזירה יותר ממערך טיפוסי אחד. השנייה (CVE-2026-96889) היא באג זיכרון ב-librsvg שמגיע דרך החבילה sharp; הציון 9.5 לפי Vercel ו-7.8 לפי Red Hat. היא רלוונטית ליישומים שמעבירים קבצי SVG של משתמשים ל-sharp על לינוקס מבוסס glibc, דורשת הפעלה של dangerouslyAllowSVG, וכן משפיעה על next/og בסביבת Node.js. השלישית (GHSA-p3m5-59mp-jv5r, חומרה גבוהה) מאפשרת לבקשות מעוצבות לצרוך את כל המעבד של תהליך שרת באפליקציות עם Server Actions.

פגיעות	גרסאות מושפעות	תיקון
use cache — הרצת קוד	16.0.0–16.4.0	16.4.1
SVG / librsvg — הרצת קוד	10.0.0–15.5.27 ו-16.0.0–16.4.0	16.4.1, או 15.5.28 עם sharp 0.35.5 ומעלה
Server Actions — DoS	13.0.0–15.5.27 ו-16.0.0–16.4.0	15.5.28, 16.4.1

נקודות לשים לב

עדכן ל-16.4.1 או 15.5.28, בנה מחדש ופרוס. לפגיעות use cache ולפגם ה-DoS אין workaround.
בגרסה 15 הרץ npm ls sharp: ‏15.5.28 עלולה להשאיר sharp 0.34.x פגיע, ויש לעדכן ל-0.35.5 ומעלה.
אם אי אפשר לעדכן מיד, את בעיית ה-SVG אפשר לצמצם בחסימת הטעינה ב-sharp (sharp.block על VipsForeignLoadSvg).
שתיים מהפגיעויות פורסמו בלי CVE ולא הופיעו בפיד ש-npm audit משתמש בו, כך שסורקי תלויות עלולים לא לסמן אותן — אל תסתמך עליהם.