Două vulnerabilități critice în Next.js permit executarea de cod la distanță

Două vulnerabilități critice descoperite în Next.js, unul dintre cele mai folosite framework-uri pentru aplicații web React, pot permite unui atacator neautentificat să execute cod arbitrar pe serverul care găzduiește aplicația. Nu e nevoie de autentificare, nu e nevoie de interacțiune din partea vreunui utilizator. E nevoie doar ca aplicația vulnerabilă să fie accesibilă din internet și să îndeplinească anumite condiții de configurare.

Prima, CVE-2026-75604, are scor CVSS 9.0 și este o vulnerabilitate de tip path traversal, adică permite unei cereri special construite să acceseze fișiere din afara directorului în care ar trebui restricționată. Afectează specific aplicațiile Next.js găzduite pe servere Windows, atât cu Pages Router cât și cu App Router, atâta timp cât nu se folosește funcționalitatea Cache Components. Practic, dacă infrastructura ta rulează pe Linux, riscul acestei vulnerabilități specifice nu se aplică, dar dacă rulează pe Windows și aplicația e expusă public, e o problemă de tratat imediat.

A doua, GHSA-2xp9-vwfh-vxw4, e chiar mai severă ca scor, CVSS 9.5, și vine dintr-o direcție diferită: Image Optimization API, componenta prin care Next.js procesează și optimizează imaginile încărcate în aplicație. Vulnerabilitatea provine dintr-o problemă în biblioteca libheif, folosită indirect prin sharp, pachetul pe care Next.js îl folosește pentru procesarea imaginilor. O imagine AVIF construită special, trimisă către endpoint-ul de optimizare, poate declanșa executarea de cod. Nu contează cine a construit-o sau de unde vine, dacă aplicația acceptă upload sau procesare de imagini AVIF de la utilizatori neautentificați, vectorul e deschis.

Ce le leagă pe cele două: ambele au fost corectate în aceeași actualizare, ambele duc la RCE (remote code execution), și ambele afectează un interval larg de versiuni. Prima lovește Next.js 13.4.0 până sub 15.5.24, plus toată ramura 16.x sub 16.3.3. A doua merge și mai în urmă, de la versiunea 10.0.0. Practic orice aplicație Next.js care nu a fost actualizată recent e susceptibilă la cel puțin una dintre ele.

Cloudflare a reacționat deja și a introdus reguli WAF (Web Application Firewall) dedicate pentru detectarea tentativelor de exploatare a ambelor probleme, ceea ce e un semnal clar că exploatarea activă e considerată o posibilitate reală, nu doar teoretică. Pentru echipele de securitate, asta înseamnă că verificarea logurilor pentru cereri anormale către endpoint-urile Next.js expuse public nu mai e opțională, mai ales dacă patch-ul nu a fost aplicat încă.

Recomandarea directă e actualizarea la 15.5.24 pentru ramura 15.x sau 16.3.3 pentru ramura 16.x. Unde actualizarea imediată nu e posibilă (aplicații legacy, dependențe blocate, procese de deployment mai lente), regulile WAF și monitorizarea activă a traficului sunt măsuri complementare, nu substitute. Pașii practici de verificare pentru orice echipă tehnică:

• inventarierea tuturor aplicațiilor Next.js din organizație, cu prioritate pentru cele găzduite pe Windows și accesibile din internet;
• verificarea versiunii instalate față de intervalele vulnerabile menționate;
• confirmarea dacă aplicația folosește Image Optimization API și acceptă imagini AVIF, indiferent de sistemul de operare pe care rulează;
• verificarea configurației Cache Components, relevantă pentru CVE-2026-75604;
• analiza logurilor pentru cereri suspecte către endpoint-uri de optimizare a imaginilor sau tentative de acces la fișiere din afara directoarelor permise.

Pentru organizațiile care intră sub incidența Legii 58/2023, responsabilitatea asigurării securității unui sistem sau serviciu informatic revine celui care îl deține, administrează sau utilizează. În practică, asta înseamnă că orice companie care rulează o aplicație Next.js expusă public, indiferent dacă e sub obligații NIS2 sau nu, are datoria de a acționa pe cont propriu la apariția unor vulnerabilități de acest calibru, fără să aștepte o notificare externă. Pentru entitățile esențiale sau importante conform OUG 155/2024, gestionarea promptă a unor vulnerabilități critice de tip RCE cu scor peste 9.0 se încadrează direct în obligațiile de management al riscurilor de securitate cibernetică, iar întârzierea patch-ului pe un sistem expus public poate deveni ea însăși un incident raportabil, dacă duce la o compromitere efectivă.