Os três avisos publicados em 14 de outubro incluem duas falhas críticas que podem permitir execução remota de código e uma falha de alta gravidade que pode interromper o atendimento de requisições. Para conferir sua aplicação, compare a versão instalada com as faixas de cada ficha e examine os recursos envolvidos. A correção das funções use cache está na versão 16.4.1. Os outros dois avisos também informam correções na versão 15.5.28.
Aplicativo
Next.js
Data do compilado
Vulnerabilidades
3
O estado de correção indica que o projeto disponibilizou uma versão corrigida. Você ainda precisa confirmar qual versão está instalada no ambiente que atende às requisições.
Gravidade críticaCVSS: 9,5/10Correção disponível
Execução remota de código na otimização de imagens SVG
O processamento de imagens SVG pelo otimizador do Next.js pode permitir que um atacante execute código no servidor sem autenticação. A falha envolve o uso de memória em uma biblioteca utilizada pela otimização de imagens e afeta o cenário descrito pelo aviso quando a aplicação roda em Linux com glibc. A orientação de correção também exige atenção à dependência sharp utilizada pelo Next.js.
Casos de uso afetados
Você mantém uma aplicação em Linux com glibc que processa arquivos SVG pelo otimizador de imagens do Next.js. Confira a dependência utilizada nesse processamento, pois a versão declarada do framework não informa, por si só, qual versão do sharp foi instalada.
Confira na sua instância
Confira a biblioteca C do servidor ou da imagem do container que executa a aplicação. Depois, examine a árvore de dependências instalada e localize o sharp utilizado pelo Next.js: o aviso orienta usar a versão 0.35.5 ou superior. Após atualizar e implantar a aplicação, repita essa conferência no ambiente em execução e teste o carregamento de uma imagem legítima que utilize o otimizador.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next (npm), versões 10 a 15
>= 10.0.0 <= 15.5.27
15.5.28
next (npm), versão 16
> 16.0.0 <= 16.4.0
16.4.1
O aviso também identifica a falha como CVE-2026-96889. A pontuação 9,5 corresponde ao CVSS 4.0. Segundo o comunicado, as versões corrigidas do Next.js fazem o gerenciador de dependências fornecer uma versão corrigida do sharp.
Gravidade críticaCVSS: 9,5/10Correção disponível
Funções use cache com múltiplos arrays tipados podem permitir execução de código
Uma função marcada com use cache que retorna múltiplos arrays tipados pode expor a aplicação à execução remota de código sem autenticação. O cenário documentado combina o App Router com o recurso Cache Components. O retorno dessa função é a condição específica destacada pelo aviso, que não detalha o mecanismo interno da exploração.
Casos de uso afetados
Sua aplicação utiliza o App Router com Cache Components e possui uma função use cache cujo retorno contém mais de um array tipado. Você precisa examinar o valor retornado pela função, inclusive quando os arrays são produzidos por funções auxiliares.
Confira na sua instância
Revise a configuração de Cache Components e localize as funções marcadas com use cache no código utilizado pelo App Router. Examine os retornos para identificar múltiplos arrays tipados. Atualize o Next.js para a versão 16.4.1 e confirme a versão instalada no ambiente publicado. Em homologação, execute os caminhos que usam essas funções e confira se os retornos continuam corretos após a atualização.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next (npm), versão 16
>=16.0.0 <= 16.4.0
16.4.1
Não há alternativa temporária conhecida para as aplicações afetadas. O comunicado orienta atualizar imediatamente, mesmo quando você não identifica funções semelhantes na aplicação. A pontuação 9,5 corresponde ao CVSS 4.0.
Gravidade altaCVSS: 8,2/10Correção disponível
Requisições a Server Actions podem esgotar o processamento da aplicação
Requisições preparadas para explorar a falha podem provocar consumo excessivo de processamento em aplicações que usam o App Router com pelo menos uma Server Action. O processo afetado pode deixar de atender às requisições seguintes, causando negação de serviço. A consequência alcança o atendimento feito por esse processo, além da requisição que iniciou o consumo.
Casos de uso afetados
Você publica rotas pelo App Router e utiliza uma Server Action para executar uma ação no servidor. Mesmo uma única Server Action já atende à condição descrita no aviso, desde que a versão do Next.js esteja em uma das faixas afetadas.
Confira na sua instância
Confira se a aplicação utiliza o App Router e localize as Server Actions presentes no código publicado. Compare a versão instalada do next com a faixa correspondente e aplique a correção indicada. Após o deploy, teste uma chamada legítima a uma Server Action e uma requisição comum ao mesmo serviço, acompanhando o consumo de processamento e o tempo de resposta. Essa conferência funcional complementa a confirmação da versão corrigida.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
next (npm), versões 13 a 15
>=13.0.0 <= 15.5.27
15.5.28
next (npm), versão 16
>= 16.0.0 <= 16.4.0
16.4.1
O aviso informa que aplicações com Pages Router ou sem Server Actions não são afetadas por esta falha. Para as aplicações afetadas, não há alternativa à atualização documentada no comunicado. A pontuação 8,2 corresponde ao CVSS 4.0.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
