Chyba CVE-2026-94545 s CVSS 9,5 v Node.js implementaci ImageResponse v Next.js verzí 16.2.0 až 16.3.5 umožňuje vzdálené spuštění kódu, pokud aplikace předává útočníkem kontrolované hodnoty do SVG obsahu, atributů či stylů. Pro zranitelnost existuje veřejný Proof-of-Concept, výrobce již vydal oficiální opravu a implementace na platformě Edge zasažena není.
Vercel opravil kritickou chybu CVE-2026-75604 s CVSS 9.0 typu 'path traversal', která na serverech v systému Windows umožňuje neautentizované vzdálené spuštění kódu při současném použití Pages a App routeru bez Cache Component. Druhá opravená zranitelnost v knihovně libheif umožňuje spuštění kódu přes škodlivý AVIF soubor, přičemž pro obě chyby jsou již dostupné exploity typu PoC.
Kanadské Cyber Centre upozornilo na kritické zranitelnosti v Next.js verzích 15.5 (do verze 15.5.24) a 16.3 (do verze 16.3.3). Centrum doporučuje uživatelům a správcům aplikovat dostupné aktualizace.
Podle výzkumu Wiz je automatizovaná kampaň přisuzovaná hrozbě UAT-10608 zneužívá zranitelné Next.js aplikace k dosažení vzdáleného spuštění kódu bez autentizace a nasazuje framework pro vícefázové získávání přihlašovacích údajů. Operace kompromitovala stovky hostitelů v cloudu.