Next.js : deux failles critiques d'exécution de code corrigées en urgence

Vercel a publié le 14 octobre 2026 une mise à jour de sécurité hors calendrier, Next.js 16.4.1 et 15.5.28, qui corrige deux failles critiques d'exécution de code à distance sans authentification, chacune notée 9,5 sur 10 au barème CVSS, ainsi qu'un défaut de déni de service de gravité élevée. Les versions 16.4.1 et 15.5.28 sont les versions de support long terme actuelles.

Quelles sont les trois failles corrigées ?

• Exécution de code via « use cache » (avis GHSA-673q-mjm6-r5xr) : versions 16.0.0 à 16.4.0, applications App Router où Cache Components est activé et où une fonction « use cache » renvoie plusieurs tableaux typés. Le défaut vient de React Server Components (paquets react-server-dom-webpack, -parcel et -turbopack, versions 19.0.0 à 19.3.0).

• Exécution de code via les images SVG (CVE-2026-96889) : versions 10.0.0 à 15.5.27 et 16.0.0 à 16.4.0. Il s'agit d'un bogue mémoire de la bibliothèque librsvg, atteinte via le paquet sharp, exploitable sur Linux glibc quand des SVG fournis par un attaquant sont traités.

• Déni de service via les Server Actions (GHSA-p3m5-59mp-jv5r) : versions 13.0.0 à 15.5.27 et 16.0.0 à 16.4.0. Des requêtes forgées saturent un processus serveur.

Mon application est-elle réellement exposée ?

Pas forcément, mais Vercel recommande de mettre à jour dans tous les cas. Next.js n'optimise pas les SVG par défaut : il faut activer le réglage « dangerouslyAllowSVG » pour qu'ils passent par l'optimiseur d'images. La même bibliothèque rend aussi les images de next/og, la fonction qui génère les aperçus sociaux, lorsqu'elle tourne sur l'environnement Node.js. Les applications du Pages Router ou sans Server Action ne sont pas touchées par le déni de service.

L'exposition dépend aussi de l'hébergeur : Netlify indique que sa plateforme n'exécute pas le chemin de code de l'optimiseur d'images et que l'impact y est limité, tout en recommandant la mise à jour.

Comment corriger, et que faire en attendant ?

• Passer à Next.js 16.4.1 (version 16) ou 15.5.28 (version 15), reconstruire puis redéployer.

• Sur la version 15, vérifier avec « npm ls sharp » : la 15.5.28 accepte encore l'ancien sharp 0.34.x, et une mise à jour sur une installation existante peut le laisser en place. Il faut sharp 0.35.5 ou plus récent.

• Si la mise à jour est impossible tout de suite, la faille SVG peut être contournée en passant sharp en 0.35.5 ou en bloquant le chargeur SVG avec sharp.block({ operation: ["VipsForeignLoadSvg"] }).

• Les failles « use cache » et Server Actions n'ont aucun contournement : seule la mise à jour les ferme.

Au 15 octobre 2026, les avis « use cache » et Server Actions n'avaient pas encore de numéro CVE ni d'entrée dans le flux d'avis npm, ce qui peut retarder leur détection par les outils d'audit automatisés. Pour suivre les corrections de la semaine, voir aussi notre article sur Chrome 154 et ses 108 failles.

Source

The Hacker News, « Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing », 15 octobre 2026