網頁開發框架Next.js開發團隊發布15.5.28與16.4.1安全更新，修補兩項重大遠端程式碼執行（RCE）漏洞及一項高風險DoS漏洞。兩項RCE的CVSS v4.0評分均達9.5，攻擊者在符合特定條件時，無須登入便可能在網站伺服器執行程式碼。受影響功能包括SVG影像最佳化與伺服器快取，官方建議使用者儘速升級。
其中受影響版本最廣的是SVG影像處理漏洞CVE-2026-96889，Next.js使用影像處理函式庫Sharp最佳化影像，而其底層用來處理SVG影像的librsvg存在記憶體安全漏洞。Next.js預設不會透過影像最佳化API處理SVG影像，須另行啟用相關設定。當網站部署於採用glibc的Linux環境，並符合特定執行條件時，攻擊者可能藉由影像最佳化API觸發漏洞，在伺服器端執行任意程式碼。
該漏洞影響Next.js 10.0.0至15.5.27，以及部分16.x版本。Sharp已在0.35.5版納入修補後的librsvg，Next.js新版也採用修補後的Sharp。開發者若尚未升級Next.js，可先確認實際使用的Sharp版本是否至少為0.35.5。
另一項重大RCE漏洞影響Next.js 16的伺服器快取功能，該功能可暫存伺服器的運算結果，讓後續請求直接使用，減少重複處理，但在使用應用程式路由架構及快取元件的網站中，如果快取函式回傳多個用來儲存數值資料的特殊陣列，攻擊者就可能透過特製請求，利用React伺服器元件的漏洞執行任意程式碼。
官方指出，攻擊須符合特定條件，並非所有使用快取功能的網站都會受到影響，受影響Next.js版本為16.0.0至16.4.0。
第三項漏洞與App Router的Server Actions有關，該功能讓網頁直接呼叫伺服器端函式，常用於表單提交或更新資料。當網站至少使用一項Server Action，攻擊者可能傳送特製請求，使CPU用量異常升高，同一個伺服器行程因此無法繼續處理其他請求，造成服務阻斷。
官方將其嚴重程度列為高風險，CVSS評分8.2，使用Pages Router或未使用Server Actions的網站不受影響。該漏洞影響Next.js 13.0.0至15.5.27，以及16.0.0至16.4.0。
