LONDON (IT BOLTWISE) – Vercel hat Sicherheitsupdates für Next.js veröffentlicht, die zwei kritisch bewertete Schwachstellen schließen. Eine Lücke erlaubt bei anfälligen Setups unautorisierte Remote-Code-Ausführung über speziell präparierte AVIF-Bilder. Die zweite Schwachstelle betrifft Windows-Hosts mit Path Traversal und kann ebenfalls zur Ausführung von Code führen. Betroffene sollten die empfohlenen Next.js-Versionen zeitnah einspielen, während Vercel-Deployments bereits geschützt sind.
Vercel schließt mit einem August-Update gleich zwei kritische Lücken im Next.js-Framework. Im Zentrum stehen dabei zwei unterschiedliche Angriffsflächen: Zum einen eine Schwachstelle in der Bildoptimierung, die in bestimmten Konfigurationen auf AVIF-Dateien zugreift; zum anderen ein Windows-spezifischer Path-Traversal-Fehler, der auf Servern mit Windows-Dateisystem ausgenutzt werden kann. Beide Fälle werden in den Advisories bzw. begleitenden Vermerken als Remote Code Execution (RCE) mit unauthentifiziertem Zugriff beschrieben, allerdings über klar getrennte Mechanismen und mit unterschiedlicher Expositionslage.
Die Windows-Lücke trägt die Kennung CVE-2026-75604 und weist einen CVSS-Score von 9,0 auf. Laut Vercel betrifft sie Next.js-Anwendungen, die sowohl den Pages Router als auch den App Router nutzen, und zusätzlich „ohne Cache Components“, sofern der Server ein Windows-Dateisystem einsetzt. Linux- und macOS-Deployments seien demnach nicht betroffen. Für die betroffenen Windows-Setups gibt es aus Sicht des Herstellers keinen bekannten Workaround; als Gegenmaßnahme nennt Vercel ausschließlich ein sofortiges Upgrade. Wichtig für den Betrieb: Vercel führt auch an, dass Anwendungen, die auf der eigenen Plattform gehostet sind, keine zusätzlichen Upgrades für diese konkrete Problematik benötigen.
Parallel dazu adressiert das Update einen kritischen Heap-Buffer-Overflow, der über AVIF-Bilder ausgelöst werden kann. Next.js nutzt dafür typischerweise den Bildverarbeitungsstack rund um „sharp“, wobei „sharp“ wiederum die Bibliothek „libheif“ zum Parsen von AVIF-Dateien heranzieht. In den zugrunde liegenden Sicherheitsinformationen wird der Fehler als RCE-fähig beschrieben (GHSA-2xp9-vwfh-vxw4, CVSS v4: 9,5). Die Korrektur greift dabei nicht nur auf einer Next.js-Ebene, sondern wird auch als Abhängigkeitsthema sichtbar: Der Patch schalte in den betroffenen Next.js-Releases die AVIF-Optimierung vorübergehend ab, bis der Fix aus „libheif“ in der Kette verfügbar ist und „propagates“.
Technisch wird der Exploit-Mechanismus in den Beschreibungen relativ detailliert: Das präparierte AVIF-Format enthält verschachtelte „identity-derivation“- und „auxiliary item“-Referenzen. Dadurch erstellt „libheif“ beim Dekodieren ein Bild mit zwei Alpha-Plane-Einträgen, die sich in ihrer Bit-Tiefe unterscheiden. Der Skalierer allokiert den Zielpuffer anhand des ersten, 8-bit Alpha-Eintrags, schreibt aber anschließend 16-bit Samplewerte aus dem zweiten Alpha-Eintrag in denselben Puffer. Dadurch entsteht ein Out-of-bounds Write; die überschreibende Menge wird in der Beschreibung mit rund 16.384 Bytes über das Allokationsende hinaus beziffert. Für den Entwicklerbetrieb ist das vor allem deshalb relevant, weil Next.js AVIF-Optimierung nur dann aktiv nutzt, wenn die Anwendung im next.config.js explizit „image/avif“ in der „formats“-Konfiguration ergänzt. Deployments ohne diese explizite Konfiguration seien demnach nicht exponiert.
Vercel hat als Versionsbasis zwei Zielstände genannt: Next.js 15.5.24 (Maintenance LTS) sowie Next.js 16.3.3 (Active LTS), beide veröffentlicht am 25. August 2026. Anwendungen aus den betroffenen Bereichen sollten innerhalb der jeweiligen Major-Minor-Linie aktualisieren; genannt werden unter anderem Next.js 13.4 bis 15.5.23 sowie Next.js 16.0 bis 16.3.2. Konkret verweist Vercel auf Upgrade-Befehle wie „npm install [email protected]“ bzw. „npm install [email protected]“. Zusätzlich erwähnt der Hersteller, dass er den Patchtermin kurzfristig um einen Tag nach vorn verlegt habe, nachdem eine weitere kritisch bewertete Schwachstelle in einer Upstream-Abhängigkeit erkannt worden sei.
Die Release-Strategie passt auch in den größeren Sicherheitsrhythmus, den Vercel seit 2026 etabliert hat. In der Ankündigung zum monatlichen Security-Programm wird explizit auf die steigende Geschwindigkeit von Vulnerability-Research hingewiesen, unter anderem im Zusammenhang mit KI-unterstützter Entdeckung. Für Teams heißt das in der Praxis: Ein einzelnes Updatefenster reicht selten, wenn Abhängigkeiten über mehrere Ebenen in die Lieferkette hineinwirken. Gleichzeitig zeigt der nächste Punkt, warum man nicht nur auf „CVEs“ schaut, sondern auch auf Aktivierungsbedingungen: Bei der AVIF-Lücke reicht es bereits, dass eine Anwendung AVIF-Optimierung konfiguriert; der eigentliche Trigger sitzt dann nicht im Text-Renderer, sondern im Bildpfad.
Auch die Einordnung in die jüngeren Next.js-Sicherheitsereignisse ist für Architekturen mit eigenem Hosting relevant. In den vergangenen zwei Jahren wurden wiederholt schwerwiegende Schwächen gemeldet, unter anderem ein Middleware-Bypass im März 2025 sowie eine Deserialisierungslücke im Umfeld von React Server Components, die mit einem CVSS-Score von 10,0 beschrieben und sehr schnell ausgenutzt worden sei. Für die hier betrachteten August-Lücken nennt die Quelle zum Veröffentlichungszeitpunkt, dass keine Ausnutzung der beiden konkreten Schwachstellen bekannt gewesen sei. Trotzdem ist die Message für IT-Leads klar: Wer Next.js selbst hostet und dabei AVIF-Optimierung oder Windows-Deployments einsetzt, sollte die Patch-Reihenfolge und die Konfigurationszustände priorisiert prüfen, bevor der nächste Build-Zyklus in Produktion geht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Next.js-Fixes: Unauthentifiziertes RCE über AVIF und Windows-Path-Traversal" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Next.js-Fixes: Unauthentifiziertes RCE über AVIF und Windows-Path-Traversal" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Next.js-Fixes: Unauthentifiziertes RCE über AVIF und Windows-Path-Traversal« bei Google Deutschland suchen, bei Bing oder Google News!