Next.js выпустил май 2026 security‑release: 13 уязвимостей исправлены

Что случилось?

7 мая 2026 года Vercel объявил о координированном security‑release для популярного фреймворка Next.js. В релизе закрыты 13 рекомендаций (advisories), затрагивающих несколько критических направлений безопасности:

• Denial of Service (DoS) – возможность перегрузить сервер через специально сформированные запросы;
• Middleware и proxy bypass – обход защитных слоёв, позволяющий выполнять произвольный код;
• Server‑Side Request Forgery (SSRF) – подмена запросов к внутренним ресурсам;
• Cache poisoning – загрязнение кэша, приводящее к распространению вредоносных ответов;
• Cross‑Site Scripting (XSS) – внедрение скриптов в клиентскую часть.

Особое внимание уделено уязвимости в React Server Components, зарегистрированной как CVE‑2026‑23870. Эта проблема могла позволить атакующему выполнить произвольный код на стороне сервера, используя механизм серверных компонентов React.

Рекомендованные действия

• Обновить Next.js до версии 13.5.4 (или новее) – патч уже опубликован в официальных пакетах npm.
• Обновить React до версии 19.0.2 (или новее), где исправлена уязвимость CVE‑2026‑23870.
• Перепроверить конфигурацию middleware и прокси‑слоёв, убедившись, что новые версии не ломают кастомные правила.
• Запустить тесты безопасности (например, OWASP ZAP) в CI/CD, чтобы убедиться в отсутствии регрессий.

Почему это важно?

Next.js является базовым стеком для миллионов веб‑приложений. Любая уязвимость в его ядре сразу же отражается на широкой экосистеме проектов, использующих Vercel, Netlify и собственные хостинги. Быстрое обновление снижает риск компрометации как небольших стартапов, так и крупных корпоративных порталов.

Ссылка на оригинальный changelog: https://vercel.com/changelog/next-js-may-2026-security-release