A otimização de arquivos AVIF e a execução de aplicações em Windows aparecem em dois avisos de execução remota de código sem autenticação. Você precisa conferir o processamento das imagens e o sistema de arquivos do servidor para identificar qual cenário se aplica à sua aplicação.
AplicativoNext.js
Data do compilado
Vulnerabilidades2
Gravidade críticaCVSS: 9,5/10Correção disponível
Execução de código ao otimizar imagens AVIF
O otimizador de imagens do Next.js usa o sharp, que recorre à biblioteca libheif para esse processamento. Uma falha nessa biblioteca pode permitir que um atacante sem autenticação execute código no servidor quando um arquivo AVIF é processado. O comunicado informa que a otimização desses arquivos foi desativada até que a correção da biblioteca seja distribuída.
Casos de uso afetados
Você mantém uma aplicação com uma versão afetada do pacote next e usa a otimização de imagens no servidor para processar arquivos AVIF. O cenário descrito envolve o arquivo recebido pelo otimizador, inclusive quando a imagem vem de uma origem externa aceita pela aplicação.
Confira na sua instância
No diretório da aplicação implantada, execute npm ls next sharp e compare a versão instalada do next com as faixas do aviso. Em homologação, acompanhe uma imagem AVIF legítima pelo navegador e pelos registros do servidor para conferir se o arquivo chega ao otimizador. Após atualizar, confira a versão presente no novo deploy e o comportamento das imagens AVIF, considerando a desativação anunciada pelo projeto.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next (correção 15.5.24)
>= 10.0.0 < 15.5.24
15.5.24
next (correção 16.3.3)
< 16.3.3
16.3.3
A pontuação 9,5 corresponde ao CVSS 4.0. A faixa < 16.3.3 foi publicada sem limite inferior e permanece assim na tabela.
Gravidade críticaCVSS: 9,0/10Correção disponível
Execução remota de código em servidores Windows
Aplicações com Pages Router ou App Router, sem Cache Components, podem permitir a execução de código por um atacante sem autenticação quando o servidor utiliza um sistema de arquivos Windows. O aviso classifica a falha como path traversal, uma restrição inadequada dos caminhos de arquivos ao diretório permitido. Você deve atualizar imediatamente uma aplicação que corresponda a essas condições.
Casos de uso afetados
Sua aplicação usa o Pages Router sem Cache Components e roda em um servidor com sistema de arquivos Windows, com o pacote next dentro de uma das faixas afetadas.
Você publica uma aplicação com o App Router em Windows e não utiliza Cache Components. Essa combinação também está incluída no comunicado.
Confira na sua instância
Confira o sistema de arquivos utilizado pelo processo que atende sua aplicação, incluindo os volumes montados. Identifique no código se as rotas usam o Pages Router ou o App Router e confira a configuração de Cache Components. Execute npm ls next no ambiente implantado para comparar a versão com as faixas correspondentes. Depois da atualização e do novo deploy, repita a consulta da versão no servidor e teste o acesso às rotas da aplicação.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next (correção 15.5.24)
>= 13.4 < 15.5.24
15.5.24
next (correção 16.3.3)
>= 16.0 < 16.3.3
16.3.3
O aviso também recebe o identificador CVE-2026-75604 e a pontuação 9,0 no CVSS 3.1. Não há alternativa de mitigação conhecida para as aplicações Windows afetadas.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
