Vercelは10月14日（現地時間）、Next.jsのセキュリティアップデートv16.4.1（Active LTS）とv15.5.28（Maintenance LTS）を公開し、アップデートを呼びかけた。上流の依存関係の遅延により9月のセキュリティリリースから延期されていた2件の修正を含み、計3件の脆弱性に対処している。
深刻度Criticalの1件目（GHSA-673q-mjm6-r5xr）は、App RouterとCache Componentsを使うアプリケーションで、use cache関数が複数の型付き配列を返す場合に、認証なしのリモートコード実行につながる。回避策はなく、同様の関数がない場合でも直ちにアップグレードすべきとしている。
Criticalの2件目（CVE-2026-96889）は、SVGを扱う画像最適化APIの脆弱性である。原因は上流ライブラリのメモリ関連の不具合で、glibcベースのLinux上ではリモートコード実行につながる。回避策は、Next.jsが使うsharpを0.35.5以降にすることだ。
深刻度Highの1件（GHSA-p3m5-59mp-jv5r）は、Server Actionsを使うApp Routerアプリケーションが対象となる。細工したリクエストでCPUが過剰に使用され、サービス拒否に至る。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
