Next.js发布紧急安全更新，修复缓存与SVG处理中的两个关键RCE漏洞
Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing
AI 导读
Next.js于October 14发布安全更新，修复两个CVSS 9.5的未授权远程代码执行漏洞和一个高危拒绝服务漏洞。16.x应升级至16.4.1，15.x应升级至15.5.28；使用15.x时需确认sharp至少为0.35.5，因为旧版仍可能被保留。use cache和Server Actions漏洞没有临时绕过方案，只能通过升级修复。
推荐理由
文章梳理了三个漏洞的受影响范围、触发条件与修复版本，并指出Next.js 15可能需单独更新sharp，适合用于升级前核对依赖和部署风险。
来源：The Hacker News · thehackernews.com