Vercel a publié récemment une mise à jour de sécurité pour Next.js. Elle corrige deux failles critiques : une exécution de code distant sans authentification et un déni de service.
La faille « use cache : une application App Router avec Cache Components » peut exécuter du code à distance quand une fonction use cache renvoie plusieurs arrays typés (GHSA-673q-mjm6-r5xr, versions 16.0.0 à 16.4.0). Aucun contournement n'est connu ; Vercel demande de mettre à jour « immédiatement, même si votre application n'a pas de fonction de ce type ».
La faille « optimisation d'images : un défaut mémoire dans une bibliothèque en amont » permet une exécution de code avec un SVG, quand Next.js tourne sur un Linux à base de glibc (CVE-2026-96889, CVSS 9,5, de la 10.0.0 à la 15.5.27 et de la 16.0.0 à la 16.4.0). Solution : s'assurer que la version de sharp utilisée est la 0.35.5 minimum.
La dernière faille est un déni de service sur des requêtes vers une application App Router qui expose au moins une Server Action. Elle augmente la charge CPU et bloque le processus (GHSA-p3m5-59mp-jv5r, CVSS 8,2, de la 13.0.0 à la 15.5.27 et de la 16.0.0 à la 16.4.0). Les applications en Pages Router ou sans Server Action ne sont pas concernées.
Les versions corrigées sont la 16.4.1 et la 15.5.28, branche Maintenance LTS. La 16.4.2 est sortie le 15 octobre :
npm install eval(unescape('%64%6f%63%75%6d%65%6e%74%2e%77%72%69%74%65%28%27%3c%61%20%68%72%65%66%3d%22%6d%61%69%6c%74%6f%3a%6e%65%78%74%40%31%35%2e%35%2e%32%38%22%3e%6e%65%78%74%40%31%35%2e%35%2e%32%38%3c%2f%61%3e%27%29%3b')) # branche 15.5
npm install eval(unescape('%64%6f%63%75%6d%65%6e%74%2e%77%72%69%74%65%28%27%3c%61%20%68%72%65%66%3d%22%6d%61%69%6c%74%6f%3a%6e%65%78%74%40%31%36%2e%34%2e%32%22%3e%6e%65%78%74%40%31%36%2e%34%2e%32%3c%2f%61%3e%27%29%3b')) # branche 16.4 (16.4.1 corrige, 16.4.2 est la dernière)
Annonce : https://nextjs.org/blog/nextjs-security-update-october-14-2026
Actualité de la rédaction de Programmez!
