CVE-2026-75604

Nome do Software Vulnerável e Versões Afetadas Next.js versões 13.4.0 até 15.5.23 Next.js versões 16.0.0 até 16.3.2

Description Dois problemas de execução remota de código (RCE) não autenticados afetam o Next.js. O primeiro ocorre em servidores hospedados em Windows que utilizam Pages Router ou App Router sem Cache Components. A aplicação não escapa consistentemente as barras invertidas nos segmentos de rota antes de construir caminhos de cache incremental em packages/next/src/shared/lib/router/utils/escape-path-delimiters.ts e packages/next/src/server/lib/incremental-cache/file-system-cache.ts. Um invasor remoto pode usar separadores de caminho do Windows codificados para realizar um path traversal, permitindo o acesso a dados de build privados, incluindo a chave de criptografia server-reference-manifest. A divulgação dessa chave permite que o invasor execute código arbitrário no servidor.

O segundo problema está localizado no caminho de otimização de imagem. Ao processar imagens AVIF controladas por um invasor usando a biblioteca sharp e a biblioteca subjacente libheif, pode ocorrer uma falha de segurança de memória, levando potencialmente à execução remota de código sem autenticação ou interação do usuário.

Recommendations Atualize para a versão 15.5.24 ou 16.3.3. Como mitigação temporária para o problema em hospedagem Windows, ative os Cache Components ou evite o uso simultâneo de Pages Router e App Router em hosts Windows. Restrinja o processamento de imagens AVIF através do caminho de otimização de imagem até que a atualização seja aplicada.