Nextjs

Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน

ช่องโหว่ CVE-2026-23870 (CVSS 7.5) ใน React Server Components ทำให้ผู้โจมตีส่งคำขอ multipart POST ที่มีการอ้างอิง $K จำนวนมาก บังคับเซิร์ฟเวอร์เปรียบเทียบสตริงแบบกำลังสองจนเธรด event loop ของ Node.js ค้าง คำขอขนาดราว 900 KB สร้างการตรวจราว 100 ล้านครั้ง การแยกข้อมูลเกิดก่อนการตรวจสิทธิ์ของ Server Action จึงอาจไม่ต้องล็อกอิน กระทบ React 19.0 ถึง 19.2 ที่ใช้ใน Next.js แก้แล้วในเวอร์ชัน 19.0.6, 19.1.7 และ 19.2.6

ช่องโหว่ใหม่ CVE-2026-94545 (CVSS 9.5) ใน Next.js เปิดให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ผ่านฟีเจอร์ ImageResponse ที่ใช้สร้างภาพพรีวิว Open Graph ความเสี่ยงเกิดเมื่อแอปนำค่าที่ผู้โจมตีควบคุมได้ เช่นข้อความจาก URL ไปใส่ในภาพ กระทบ Next.js 16.2.0 ถึง 16.3.5 เมื่อ ImageResponse รันบน Node.js runtime ซึ่งเป็นค่าเริ่มต้น บริษัท Vercel ออกแพตช์แล้วในเวอร์ชัน 16.3.6 ต้นตอที่แท้จริงอยู่ในไลบรารี Satori ที่แปลงเลย์เอาต์ภาพเป็นโค้ด SVG

Vercel ออกแพตช์ให้ Next.js อุด 2 ช่องโหว่ร้ายแรงที่เปิดทางรันโค้ดระยะไกลโดยไม่ต้องยืนยันตัวตน ตัวแรกคือ CVE-2026-75604 (CVSS 9.0) เป็น path traversal ที่กระทบเฉพาะเซิร์ฟเวอร์ซึ่งใช้ระบบไฟล์ของวินโดวส์ ตัวที่สองเป็น heap buffer overflow ในไลบรารี libheif ที่ Next.js เรียกใช้ผ่าน sharp เมื่อประมวลผลไฟล์ AVIF ที่ผู้โจมตีสร้างขึ้น แก้แล้วในเวอร์ชัน 15.5.24 และ 16.3.3 ที่ออกเมื่อ 25 สิงหาคม 2569 ยังไม่มีรายงานการโจมตีจริงจนถึงวันที่ 27 สิงหาคม