高風險RCE漏洞席捲Next.js

Next.js開發團隊緊急發布15.5.28與16.4.1版本，針對兩項遠端程式碼執行（RCE）漏洞進行修補，其CVSS v4.0評分均高達9.5。這意味著攻擊者在特定條件下，甚至無須登入帳號，便能直接在網站伺服器端執行任意程式碼。主要受影響的功能涵蓋SVG影像最佳化與伺服器快取機制，對於依賴這些功能的開發者而言，升級已是刻不容緩的任務，以免成為駭客眼中的肥羊。

SVG處理與快取功能的潛在危機

SVG影像處理漏洞（CVE-2026-96889）影響範圍極廣，從Next.js 10.0.0至15.5.27及部分16.x版本皆在列。問題根源在於底層函式庫librsvg的記憶體安全缺陷，當部署於採用glibc的Linux環境並啟用相關設定時，攻擊者可透過影像最佳化API觸發漏洞。另一項RCE則針對Next.js 16的伺服器快取功能，影響16.0.0至16.4.0版本，特別是在使用應用程式路由架構且快取函式回傳特殊陣列時，特製請求可能利用React伺服器元件漏洞執行程式碼。

別忽略Server Actions的DoS風險

除了RCE漏洞，官方也修補了一項高風險的阻斷服務（DoS）漏洞，CVSS評分8.2。此問題與App Router的Server Actions有關，影響Next.js 13.0.0至15.5.27以及16.0.0至16.4.0版本。當網站至少使用一項Server Action時，攻擊者傳送特製請求可能導致CPU用量異常飆升，使伺服器行程無法處理其他請求，進而造成服務中斷。使用Pages Router或未啟用Server Actions的網站則不受此影響，開發者需檢視自身架構以評估風險。