Next.js緊急修補兩項重大RCE漏洞，SVG影像處理與快取功能受影響

新聞 網頁開發框架Next.js開發團隊發布 15.5.28 與 16.4.1 安全更新，修補兩項重大遠端程式碼執行（RCE）漏洞及一項高風險DoS漏洞。兩項RCE的CVSS v4.0評分均達9.5，攻擊者在符合特定條件時，無須登入便可能在網站伺服器執行程式碼。受影響功能包括SVG影像最佳化與伺服器快取，官方建議使用者儘速升級。 其中受影響版本最廣的是SVG影像處理漏洞 CVE-2026-96889 ，Next.js使用影像處理函式庫Sharp最佳化影像，而其底層用來處理SVG影像的librsvg存在記憶體安全漏洞。Next.js預設不會透過影像最佳化API處理SVG影像，須另行啟用相關設定。當網站部署於採用glibc的Linux環境，並符合特定執行條件時，攻擊者可能藉由影像最佳化API觸發漏洞，在伺服器端執行任意程式碼。 該漏洞影響Next.js 10.0.0至15.5.27，以及部分1