Teils kritische Schwachstellen in Next.js

Das Entwickler-Team des Webframeworks Next.js veröffentlichte drei Warnmeldungen auf GitHub zu den folgenden Schwachstellen in der Software:

• CVE-2026-96889 mit einem CVSS-B-Score von 9.5/10 ermöglicht Angreifenden, Befehle auf betroffenen Servern auszuführen. Betroffen sind die Next.js-Versionen ab 10.0.0 bis einschließlich 15.5.27 sowie die Versionen von 16.0.0 bis einschließlich 16.4.0.

• Eine weitere kritische Schwachstelle ohne CVE-Kennung mit einem CVSS-B-Score von 9.5/10 ermöglicht Angreifenden, maliziösen Code auf betroffenen Servern auszuführen. Betroffen sind die die Next.js-Versionen 16.0.0 bis einschließlich 16.4.0.

• Eine weitere Schwachstelle ohne CVE-Kennung mit einem CVSS-B-Score von 8.2/10 ermöglicht Angreifenden, Denial-of-Service-Zustände (DoS) herbeizuführen. Betroffen sind die Next.js-Versionen 13.0.0 bis 15.5.27 sowie 16.0.0 bis 16.4.0.

Mit den Next.js-Versionen 16.4.1 und 15.5.28 schließt das Entwickler-Team die Lücke.

Empfehlung

Installieren Sie umgehend und je nach Konfiguration die Next.js-Version 16.4.1 oder 15.5.28.

Weitere Informationen

• Warnmeldung zu CVE-2026-96889 (engl.)
• Warnmeldung zur zweiten kritischen Schwachstelle (engl.)
• Warnmeldung zur dritten Schwachstelle (engl.)
• Bericht von The Hacker News (engl.)