LONDON (IT BOLTWISE) – Vercel hat Sicherheitsupdates für Next.js veröffentlicht, die zwei kritische Schwachstellen schließen. Beide Lücken könnten unter bestimmten Bedingungen eine nicht authentifizierte Remote-Codeausführung ermöglichen, ohne dass ein Login erforderlich ist. Betroffene Deployments sollten ihre Next.js-Versionen kurzfristig auf die aktualisierten Builds bringen. Besonders relevant sind dabei Windows-Umgebungen sowie das AVIF-Rendering über libheif.
Vercel adressiert mit einem neuen Sicherheitsupdate zwei Schwachstellen im Next.js-Ökosystem, die laut veröffentlichten Kennungen hohe Risikowerte erreichen. Die Brisanz liegt dabei nicht nur in der abstrakten Bewertung, sondern in der möglichen Auswirkung: Für beide Fehler wird beschrieben, dass sie unter bestimmten Umständen eine nicht authentifizierte Remote-Codeausführung erlauben könnten. Damit rückt wieder einmal die Frage in den Fokus, wie schnell Teams ihre Build- und Laufzeitumgebungen von Frameworks in der Praxis aktualisieren, wenn der Patch nicht automatisch in bestehende Container- oder VM-Images „hineinwächst“.
Die erste Lücke trägt die Kennung CVE-2026-75604 und betrifft eine Windows-Pfad-Traversal-Schwachstelle. Veröffentlicht wird ein CVSS-Wert von 9.0, die betroffenen Next.js-Versionen reichen von 13.4 bis 15.5.23 sowie von 16.0 bis 16.3.2. Laut Angabe wurde der Fehler in den Versionen 15.5.24 und 16.3.3 geschlossen. Technisch betrachtet sind Path-Traversal-Bausteine in Webframeworks oft dort besonders gefährlich, wo Pfade aus Requests abgeleitet werden und anschließend in Dateisystem- oder Asset-Zugriffe übergehen. Selbst wenn ein System keine klassischen „Datei-Downloads“ anbietet, können unsaubere Pfadbezüge im Zusammenspiel mit Server-/Edge-Layern oder nativen Image-/Asset-Pipelines Türen öffnen.
Die zweite Schwachstelle ist ein Heap-Overflow im AVIF-Bildformat. Dafür wird die Kennung GHSA-2xp9-vwfh-vxw4 genannt, mit einem CVSS-Wert von 9.5. Die Wirkung entfaltet sich über die Bibliothek libheif, die bis Version 1.23.1 betroffen sein soll. Auch hier ist der Versionsbereich breit: Next.js 10.0.0 bis 15.5.23 sowie der 16.x-Zweig bis 16.3.2 werden als betroffen beschrieben, gefixt wird wiederum mit entsprechend aktuellen Framework-Versionen. Für die Praxis heißt das: Teams, die AVIF-Uploads verarbeiten, statische AVIF-Assets konvertieren oder Bild-Operationen serverseitig ausführen, sollten nicht nur ihre Frontend-Pfade prüfen, sondern auch die Bildpipeline im Backend und die tatsächlich ausgelieferten Abhängigkeiten im Container/Runtime-Image.
Positiv für die Lageeinschätzung ist, dass nach bisherigem Kenntnisstand keine aktive Ausnutzung der beiden Schwachstellen bekannt ist. Gleichzeitig ist genau dieses Muster für Security-Teams vertraut: Zwischen Veröffentlichung einer Schwachstelle, Patch-Release und realem Missbrauch liegt häufig nur eine kurze Zeitspanne, in der Angreifer automatisiert nach verwundbaren Versionen suchen. Dass die beiden CVSS-Werte sehr hoch ausfallen, verstärkt den Handlungsdruck, weil sie darauf hindeuten, dass selbst „seltene“ Triggerpfade in der Praxis übersehen werden können – etwa dann, wenn Sicherheitsprüfungen nur im Client stattfinden oder wenn bestimmte Bildformate in Teilprozessen (z. B. durch CMS-Workflows) unerwartet in den Serverbetrieb geraten.
Für Betreiber ergibt sich daraus ein klarer Prioritätenplan: Zuerst müssen die eigenen Next.js-Versionen identifiziert werden, inklusive aller Deployments, die nicht über den Standardpfad aktualisiert werden (z. B. Notfall- oder Legacy-Services). Anschließend folgt der eigentliche Fix mit Updates auf die in der Meldung genannten Zielstände: Für die Windows-Pfad-Traversal-Schwachstelle sind die Releases ab 15.5.24 und 16.3.3 relevant, während der AVIF-Fehler über das Update der zugrunde liegenden libheif-Komponenten in den aktuellen Next.js-Versionen geschlossen wird. Da beide Lücken einen relativ großen Versionskorridor abdecken, ist die Wahrscheinlichkeit hoch, dass ein größerer Teil der bestehenden Deployments potenziell betroffen ist, sofern nicht bereits in den letzten Releases nachgezogen wurde.
Aus Engineering-Sicht lohnt außerdem ein Blick auf die Umsetzung von Security-Schnelligkeit: Moderne Teams lösen das Problem häufig über konsistente CI/CD-Pipelines, in denen Abhängigkeiten nicht nur im Entwicklungsbranch, sondern auch in den tatsächlich produktiven Artefakten (Container-Images, Build-Caches, Serverless-Bundles) aktualisiert werden. Wer Next.js in einem mehrstufigen Setup betreibt, sollte zudem sicherstellen, dass Bildverarbeitungspfade tatsächlich auf dem serverseitigen Codepfad laufen, der vom Update erfasst wird, statt nur „irgendwo“ im Frontend zu testen. So reduziert sich das Risiko, dass ein Patch zwar im Repository sichtbar ist, aber in der Produktion etwa durch ein altes Image oder eine gefrorene Deployment-Konfiguration wieder ausgehebelt wird.
In Summe ist das Update weniger ein Einzelfall als ein Signal: Framework-Sicherheit hängt in der Praxis stark davon ab, wie gut Teams ihre Abhängigkeiten versionieren, schnell wiederholbar testen und unter realen Laufzeitbedingungen aktualisieren. Da keine bekannte Ausnutzung berichtet wird, ist der Zeitpunkt gleichwohl passend, um die betroffenen Versionen jetzt zu schließen und die Bildpipeline sowie Windows-spezifische Pfadlogik als mögliche Angriffspfade frühzeitig zu validieren. Der nächste Schritt ist damit organisatorisch und technisch gleichermaßen: Patch einspielen, Drift in Artefakten prüfen und anschließend Regressionstests priorisieren, die Upload- und Bildszenarien einschließen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Vercel schließt kritische Next.js-Lücken: Pfad-Traversal und AVIF-Heap-Overflow" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Vercel schließt kritische Next.js-Lücken: Pfad-Traversal und AVIF-Heap-Overflow" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Vercel schließt kritische Next.js-Lücken: Pfad-Traversal und AVIF-Heap-Overflow« bei Google Deutschland suchen, bei Bing oder Google News!