LONDON (IT BOLTWISE) – Next.js liefert am 14. Oktober einen Out-of-Band-Sicherheitsupdate, der zwei kritische RCE-Schwachstellen schließt und eine weitere Lücke gegen Denial-of-Service adressiert. Betroffen sind unter anderem App-Router-Setups mit Cache Components hinter „use cache“ sowie Umgebungen, die SVGs über sharp bzw. librsvg rendern. Vercel stuft beide Code-Execution-Probleme jeweils mit CVSS 9,5 ein. Für die Aktualisierung empfiehlt sich ein Upgrade auf Next.js 16.4.1 oder 15.5.28 und eine Prüfung der sharp-Version.
Der Sicherheitsupdate von Next.js kommt als sogenanntes Out-of-Band-Patch und zielt auf drei Schwachstellen, die unterschiedliche Teile der Request-Verarbeitung treffen. Vercel, der verantwortliche Entwickler von Next.js, bewertet dabei zwei Fälle von Code Execution als kritisch und vergibt jeweils einen CVSS-Score von 9,5. Konkret betrifft das einerseits die React-Server-Components-Schicht rund um Cache Components und die Funktion „use cache“. Andererseits liegt ein Speicher- bzw. Parsing-Problem in der SVG-Verarbeitung vor: Next.js nutzt dafür die Open-Source-Bibliothek librsvg über das sharp-Paket. Ergänzend adressiert der Patch eine Denial-of-Service-Lücke in Verbindung mit Server Actions, die in App-Router-Apps einzelne Serverprozesse in eine CPU-Sättigung treiben kann.
Technisch lässt sich der erste RCE-Fall am besten über die Ausführungs- und Serialisierungswege einordnen. In den betroffenen React-Bausteinen (react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack, in den Versionen 19.0.0 bis 19.3.0) beschreibt React eine Schwäche in extrem seltenen Fällen: Wenn Antworten mehrere typed arrays über Transportpfade ausliefern und gleichzeitig ein attacker-kontrollierter Wert beteiligt ist, kann daraus ungewollte Codeausführung entstehen. Für Next.js wird das Risiko allerdings enger gefasst: Entscheidend ist, ob eine App-Version die Cache Components nutzt, die hinter „use cache“ stehen. Vercel macht damit klar, dass nicht „jede“ Next.js-App automatisch betroffen ist, sondern insbesondere App-Router-Anwendungen mit aktivierten Cache Components, bei denen „use cache“ mehr als ein typed array zurückliefert. Das Fix-Release dafür ist in Next.js 16.4.1 eingeplant, während betroffene Versionen 16.0.0 bis 16.4.0 umfassen.
Der zweite Code-Execution-Fall hängt weniger von React-Transportdetails ab und stärker von der Medienverarbeitung. Next.js aktiviert SVG-Optimierung standardmäßig nicht; wer SVGs durch den Image Optimizer bereitstellt, muss eine Einstellung mit dem Namen „dangerouslyAllowSVG“ aktivieren. Dennoch kann der gleiche Renderpfad auch in anderen Next.js-Funktionen auftauchen, etwa wenn next/og Social-Preview-Bilder im Node.js-Runtime-Kontext generiert. Die Schwachstelle sitzt in librsvg und ist laut Advisory auf glibc-basierte Linux-Setups beschränkt. Praktisch bedeutet das: Wenn eine Anwendung attacker-input als SVG übergeben kann und sharp dafür intern librsvg einsetzt, existiert ein Pfad zu potenzieller Codeausführung. Als fixierte Kombination nennt Vercel bei Next.js 16.4.1 die Voraussetzung „sharp 0.35.5“, während für Next.js 15.5.28 ein Upgrade von sharp auf Version 0.35.5 oder höher ebenfalls erforderlich ist; betroffen sind ansonsten Next.js 10.0.0 bis 15.5.27 sowie 16.0.0 bis 16.4.0 (für den SVG-Pfad).
Parallel dazu adressiert der Patch eine Denial-of-Service-Lücke, die sich gezielt an App-Router-Setups mit mindestens einer Server Action richtet. Vercel beschreibt den Effekt so, dass manipulierte Requests einen Serverprozess auf volle CPU-Nutzung bringen und damit andere Anfragen blockieren können. Was dabei wichtig ist: Apps, die auf dem Pages Router laufen, oder solche ohne Server Actions, sollen nicht betroffen sein. Außerdem unterscheidet sich die Exponierung je nach Hosting-Plattform, was im Betrieb eine Rolle spielt: Netlify gab in diesem Kontext an, dass deren Plattform den Codepfad des Image Optimizers nicht ausführt, wodurch die Impact-Wirkung der SVG-bezogenen Lücke in diesem Setup begrenzt sei. Auch dort bleibt aber die Empfehlung zum Upgrade bestehen, weil die anderen Schwachstellen unabhängig davon eintreten können.
Für die Umsetzung bleibt der Maßnahmenplan relativ klar: Nutzer sollen auf Next.js 16.4.1 (für Version 16) bzw. 15.5.28 (für Version 15) aktualisieren, anschließend Build und Deployment erneut anstoßen. Vercel betont dabei, dass das Upgrade idealerweise auch den Dependency-Resolver in Bewegung setzt: Paketmanager sollen das gepatchte sharp automatisch mitziehen. Das ist auf Next.js 16 zuverlässig, weil 16.4.1 sharp 0.35.5 erfordert. In Next.js 15 ist die Situation etwas feingranularer, weil ein Upgrade „über“ ein bestehendes Setup zwar die Next.js-Version hebt, aber das bereits installierte sharp nicht zwingend aktualisiert. Deshalb empfiehlt Vercel ausdrücklich, mit „npm ls sharp“ zu prüfen, ob sharp bereits auf eine Version oberhalb von 0.35.x steht; andernfalls soll sharp auf 0.35.5 oder neuer aktualisiert werden.
Wer nicht sofort auf Next.js 16.4.1 oder 15.5.28 migrieren kann, bekommt zumindest für die SVG-Lücke eine Zwischenoption. Die Advisory nennt als pragmatischen Hebel, sicherzustellen, dass sharp mindestens 0.35.5 ist, oder alternativ die SVG-Rendering-Funktion in sharp per „sharp.block({ operation: „VipsForeignLoadSvg“ })“ zu sperren. Für die beiden anderen Probleme (use cache/typed arrays und Server Actions) gibt es laut Quelle jedoch keinen wirklichen Workaround; hier schließt erst das Upgrade die Lücken. Ein weiterer operativer Hinweis ist für viele Teams relevant, die auf Standard-Workflows wie „npm audit“ oder Dependency-Scanner setzen: Zum Zeitpunkt der Veröffentlichung lagen die Advisory-Infos für den „use cache“- und Server-Actions-Fall ohne CVE-Nummern vor und erschienen nicht im Advisory-Feed, den „npm audit“ nutzt. Damit kann ein automatisierter Alarm ausbleiben, obwohl die Anwendung im betroffenen Profil gefährdet ist; umso wichtiger ist das gezielte Abgleichen der eingesetzten Next.js-Features.
Warum diese SVG- und Bildverarbeitungsthemen in Next.js gerade wieder so stark im Fokus stehen, lässt sich auch historisch nachvollziehen: In einem kurzen Zeitraum seit August traten laut Quelle erneut Code-Execution-Probleme im Bild-/Datei-Handling auf. Zuerst führte ein Fehler in libheif (über sharp) im AVIF-Optimizer-Kontext zu einem RCE-Pfad, anschließend kam im September eine Schwachstelle in next/og hinzu, die attacker-kontrollierten Text in generierten SVGs verändern konnte. Interessant ist dabei die Einordnung von Vercel: Im aktuellen Patch habe Next.js seinen eigenen Image-Code nicht grundlegend geändert, sondern den Fokus auf das gepatchte sharp gelegt. 16.4.1 liefert demnach den gleichen Optimizer wie 16.4.0, hebt jedoch sharp auf 0.35.5 an, in dem ein fixierter librsvg-Stand (2.63.2) enthalten ist. Die Beratungen dazu passen auch zur Einschätzung aus der Sicherheitsforschung: Für die Exponierung kann die Server-Spezifik (insbesondere der Node.js Build) mitentscheiden, weil die Härtung gegen solche Speicherangriffe je nach Build-Variante variieren kann.
Aus Sicht der Entwicklerteams lohnt zudem die Abgrenzung zu dem in der Vergangenheit bekannt gewordenen React2Shell-Komplex, der im Dezember 2025 öffentlich gemacht und in der Praxis ausgenutzt worden sein soll. Der neue React-Server-Components-Fall liegt zwar im selben Paket-Cluster, ist aber deutlich enger im Trigger beschrieben: React nennt „extremely rare cases“ mit mehreren typed arrays und attacker-kontrollierten Werten, was in einer Next.js-Umgebung nur dann relevant wird, wenn „use cache“ exakt in dieser Weise arbeitet. Zum 15. Oktober liegen laut Quelle außerdem keine öffentlichen Berichte vor, dass die am 14. Oktober geschlossenen Lücken bereits in laufenden Angriffen genutzt wurden. Für die Sicherheitsteams heißt das dennoch nicht „abwarten“: Gerade bei Feature-getriebenen Pfaden wie Cache Components oder „dangerouslyAllowSVG“ entscheidet die konkrete Applikationsarchitektur darüber, ob ein potenzieller Exploit existiert – und genau deshalb sollte die Aktualisierung und die Versionsprüfung jetzt priorisiert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Next.js schließt zwei RCE-Lücken per Out-of-Band-Patch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Next.js schließt zwei RCE-Lücken per Out-of-Band-Patch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Next.js schließt zwei RCE-Lücken per Out-of-Band-Patch« bei Google Deutschland suchen, bei Bing oder Google News!