La Cyber Security Agency di Singapore ha segnalato due vulnerabilità critiche in Next.js, entrambe con punteggio CVSS v4 di 9,5. La prima interessa App Router e Cache Components quando una funzione `use cache` restituisce più typed array; la seconda riguarda Image Optimization su Linux basato su glibc. Entrambe possono consentire esecuzione di codice remota senza autenticazione.

Le applicazioni che utilizzano le funzionalità interessate possono esporre il server all'esecuzione di codice da parte di un aggressore remoto non autenticato.

Verificare le versioni esposte e applicare le correzioni: aggiornare Next.js 16.x almeno alla versione 16.4.1 e le installazioni 10.x–15.x almeno alla versione 15.5.28.