Cosa è successo
La Cyber Security Agency di Singapore ha segnalato due vulnerabilità critiche in Next.js, entrambe con punteggio CVSS v4 di 9,5. La prima interessa App Router e Cache Components quando una funzione `use cache` restituisce più typed array; la seconda riguarda Image Optimization su Linux basato su glibc. Entrambe possono consentire esecuzione di codice remota senza autenticazione.
Perché conta
Le applicazioni che utilizzano le funzionalità interessate possono esporre il server all'esecuzione di codice da parte di un aggressore remoto non autenticato.
Cosa succede ora
Verificare le versioni esposte e applicare le correzioni: aggiornare Next.js 16.x almeno alla versione 16.4.1 e le installazioni 10.x–15.x almeno alla versione 15.5.28.