A pré-renderização parcial, o otimizador de imagens e as Server Functions do App Router aparecem nos três avisos publicados em 26/01/2026. Confira quais desses recursos estão ativos na sua aplicação e compare a versão instalada com as correções de cada ficha.
AplicativoNext.js
Data do compilado
Vulnerabilidades3
Gravidade altaCVSS: 7,5/10Correção disponível
Requisições a Server Functions podem interromper o App Router
Uma requisição HTTP preparada para explorar a falha chega a um endpoint de Server Function do App Router e provoca consumo excessivo de recursos durante a desserialização do conteúdo. O processamento pode ocupar excessivamente o processador, esgotar a memória ou encerrar o servidor. A falha vem de pacotes de React Server Components das séries 19.0.x, 19.1.x e 19.2.x usados por aplicações Next.js afetadas.
Casos de uso afetados
Você publica uma aplicação com o App Router e expõe uma Server Function, como uma ação de formulário executada no servidor. Uma requisição malformada a esse endpoint pode comprometer a disponibilidade durante a desserialização, sem exigir uma conta autenticada.
Confira na sua instância
No código publicado, confira as rotas do diretório app e as funções com a diretiva 'use server'. Identifique os endpoints acionados pelos formulários que usam essas funções e compare a versão efetivamente instalada do pacote next com a faixa oficial. Após instalar uma das correções declaradas, publique o novo build e execute uma chamada normal à função. Confira a resposta e os logs do processo para confirmar que a aplicação atualizada continua atendendo ao formulário.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
O comunicado não declara uma versão corrigida das séries 13.x ou 14.x. Para essas aplicações, confira a migração para uma linha com correção declarada.
Gravidade moderadaCVSS: 5,9/10Correção disponível
Esgotamento de memória na retomada da pré-renderização parcial
A retomada da pré-renderização parcial aceita requisições POST sem autenticação com o cabeçalho Next-Resume: 1. O servidor acumula o corpo inteiro na memória com Buffer.concat(), sem limitar seu tamanho. A descompactação do estado de retomada com inflateSync() também não limita o tamanho resultante. Um corpo muito grande ou um conteúdo comprimido que se expande excessivamente pode esgotar a memória e encerrar o processo do Node.js.
Casos de uso afetados
Você mantém a pré-renderização parcial habilitada por experimental.ppr: true ou cacheComponents: true e executa a aplicação com NEXT_PRIVATE_MINIMAL_MODE=1. Nessa combinação, uma requisição à retomada da renderização pode derrubar o processo que atende às páginas.
Confira na sua instância
Confira experimental.ppr e cacheComponents na configuração usada pelo deploy e verifique o valor de NEXT_PRIVATE_MINIMAL_MODE no ambiente efetivo do processo. Compare a versão instalada do pacote next com cada entrada da tabela. Nos logs, procure o erro fatal de memória do V8 e correlacione eventuais encerramentos com requisições POST contendo Next-Resume: 1. Após atualizar, confirme a versão no artefato publicado e teste a retomada normal de uma página com pré-renderização parcial.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next 15.0.x
15.0.0-canary.0
15.0.0
next 15.0.x
15.0.1-canary.0
15.0.1
next 15.0.x
15.0.2-canary.0
15.0.2
next 15.0.x
15.0.3-canary.0
15.0.3
next 15.0.x
15.0.4-canary.0
15.0.4
next 15.1.x
15.1.0-canary.0
15.1.0
next 15.1.x
15.1.1-canary.0
15.1.1
next 15.1.x
15.1.2-canary.0
15.1.2
next 15.1.x
15.1.3-canary.0
15.1.3
next 15.1.x
15.1.4-canary.0
15.1.4
next 15.1.x
15.1.5-canary.0
15.1.5
next 15.1.x
15.1.6-canary.0
15.1.6
next 15.1.x
15.1.7-canary.0
15.1.7
next 15.2.x
15.2.0-canary.0
15.2.0
next 15.2.x
15.2.1-canary.0
15.2.1
next 15.2.x
15.2.2-canary.0
15.2.2
next 15.2.x
15.2.3-canary.0
15.2.3
next 15.2.x
15.2.4-canary.0
15.2.4
next 15.2.x
15.2.5-canary.0
15.2.5
next 15.3.x
15.3.0-canary.0
15.3.0
next 15.3.x
15.3.1-canary.0
15.3.1
next 15.3.x
15.3.2-canary.0
15.3.2
next 15.1.x
15.1.8-canary.0
15.1.8
next 15.3.x
15.3.3-canary.0
15.3.3
next 15.4.x
15.4.0-canary.0
15.4.0
next 15.3.x
15.3.4-canary.0
15.3.4
next 15.3.x
15.3.5-canary.0
15.3.5
next 15.4.x
15.4.1-canary.0
15.4.1
next 15.4.x
15.4.2-canary.0
15.4.2
next 15.4.x
15.4.3-canary.0
15.4.3
next 15.4.x
15.4.4-canary.0
15.4.4
next 15.4.x
15.4.5-canary.0
15.4.5
next 15.4.x
15.4.6-canary.0
15.4.6
next 15.4.x
15.4.7-canary.0
15.4.7
next 15.5.x
15.5.0-canary.0
15.5.0
next 15.5.x
15.5.1-canary.0
15.5.1
next 15.5.x
15.5.2-canary.0
15.5.2
next 15.5.x
15.5.3-canary.0
15.5.3
next 15.5.x
15.5.4-canary.0
15.5.4
next 15.5.x
15.5.5-canary.0
15.5.5
next 15.5.x
15.5.6-canary.0
15.5.6
next 15.5.x
15.5.7-canary.0
15.5.7
next 15.4.x
15.4.8-canary.0
15.4.8
next 15.1.x
15.1.9-canary.0
15.1.9
next 15.0.x
15.0.5-canary.0
15.0.5
next 15.3.x
15.3.6-canary.0
15.3.6
next 15.2.x
15.2.6-canary.0
15.2.6
next 15.5.x
15.5.8-canary.0
15.5.8
next 15.4.x
15.4.9-canary.0
15.4.9
next 15.3.x
15.3.7-canary.0
15.3.7
next 15.2.x
15.2.7-canary.0
15.2.7
next 15.1.x
15.1.10-canary.0
15.1.10
next 15.0.x
15.0.6-canary.0
15.0.6
next 15.5.x
15.5.9-canary.0
15.5.9
next 15.4.x
15.4.10-canary.0
15.4.10
next 15.3.x
15.3.8-canary.0
15.3.8
next 15.2.x
15.2.8-canary.0
15.2.8
next 15.1.x
15.1.11-canary.0
15.1.11
next 15.0.x
15.0.7-canary.0
15.0.7
next 16.1.x
16.1.0
16.1.5
Limitar o tamanho das requisições no proxy reverso não cobre a expansão do conteúdo comprimido. O texto do comunicado recomenda 15.6.0-canary.61 ou 16.1.5, mas a API registra as associações pontuais de versões reproduzidas na tabela.
Gravidade moderadaCVSS: 5,9/10Correção disponível
Imagens externas podem esgotar a memória do otimizador
O endpoint /_next/image carrega a imagem externa inteira na memória sem impor um tamanho máximo ao arquivo recebido. Em uma aplicação hospedada por você, um atacante que controla uma imagem muito grande em um domínio permitido por remotePatterns pode direcionar o otimizador para esse arquivo e consumir a memória disponível, interrompendo o serviço.
Casos de uso afetados
Seu catálogo usa o otimizador do Next.js para imagens externas e remotePatterns permite um domínio no qual um atacante consegue disponibilizar arquivos. A otimização de uma imagem excessivamente grande desse domínio pode deixar a aplicação indisponível.
Confira na sua instância
Abra a configuração de images.remotePatterns usada no servidor e confira os domínios e caminhos permitidos. Verifique se terceiros conseguem publicar imagens nesses endereços e confirme, pelas requisições normais da página, que elas são processadas por /_next/image. Compare o pacote next instalado no servidor com a tabela. Depois da atualização, teste uma imagem habitual de um domínio permitido e acompanhe o consumo de memória durante a otimização.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next 10.x
10.0.0
Não informadas
next 11.x
11.0.0
Não informadas
next 12.x
12.0.0
Não informadas
next 13.x
13.0.0
Não informadas
next 14.x
14.0.0
Não informadas
next 15.x
15.0.0
15.5.10
next 16.x
16.0.0
16.1.5
A API não informa versões corrigidas para as entradas 10.0.0, 11.0.0, 12.0.0, 13.0.0 e 14.0.0. As correções declaradas são 15.5.10 e 16.1.5, associadas às respectivas entradas da tabela.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
