Resumo
O Next.js 15.5.28 corrige duas falhas de segurança na linha 15. A publicação classifica como crítica a execução remota de código sem autenticação na API de otimização de imagens com arquivos SVG. A segunda correção abrange a negação de serviço no App Router com Server Actions, classificada como alta.
Novidades
As notas apresentam correções de segurança, sem anunciar funcionalidades adicionais nesta versão.
Melhorias
A publicação não descreve ajustes de desempenho ou de interface separados das correções.
Correções
- Next.js 15.5.28 — Otimização de imagens: a versão corrige a execução remota de código sem autenticação associada ao uso de SVG. O aviso oficial é GHSA-2464-fhr4-w9xw.
- Next.js 15.5.28 — Server Actions: a correção de negação de serviço no App Router corresponde ao aviso GHSA-p3m5-59mp-jv5r.
Ponto de Atenção
Confira a versão instalada nas aplicações da linha 15 e consulte os avisos para verificar as condições afetadas. O release não detalha essas condições nem anuncia uma migração incompatível.
Teste sugerido: atualize uma cópia de homologação para 15.5.28 e execute o build. Verifique a renderização das imagens utilizadas pela aplicação e uma Server Action existente antes de publicar a atualização.
Notas da versão
O release oficial do Next.js 15.5.28 foi publicado em 14/10/2026 às 17h47 UTC como versão estável.