Consumo excessivo do processador ao receber chamadas de Server Functions
Uma requisição HTTP preparada para explorar a falha pode exigir processamento excessivo durante a desserialização, quando o servidor interpreta o conteúdo recebido por uma Server Function do App Router. O problema envolve os componentes de servidor do React usados pelo Next.js e pode comprometer a disponibilidade da aplicação sem exigir autenticação. O aviso identifica a falha como CVE-2026-23869.
Casos de uso afetados
- Você mantém uma aplicação com App Router e endpoints de Server Functions acessíveis pela rede, usando uma versão do pacote next dentro das faixas afetadas. Uma chamada maliciosa a esses endpoints pode ocupar o processador durante a interpretação da requisição e prejudicar o atendimento das chamadas legítimas.
Confira na sua instância
No diretório da aplicação que está em execução, consulte a versão efetivamente instalada com npm ls next --depth=0 e compare o resultado com as faixas abaixo. Confira no código o uso do App Router e das Server Functions, incluindo funções declaradas com "use server", e identifique quais endpoints recebem chamadas pela rede. Depois de atualizar e publicar um novo build, repita a consulta no ambiente publicado para confirmar a versão instalada. Teste uma chamada habitual a uma Server Function e acompanhe o consumo do processador e o tempo de resposta para conferir o funcionamento da aplicação.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| next (npm) | >=13.0.0 < 15.5.15, >= 16.0 < 16.2.3 | 15.5.15, 16.2.3 |
As versões corrigidas estão disponíveis no projeto. Você precisa confirmar que o ambiente publicado recebeu a atualização. Um teste com uma chamada habitual confere o funcionamento, mas não comprova isoladamente a correção desta falha.
