CVE-2026-44577
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 10.0.0 ile 15.5.16 ve 16.2.5 sürümleri arasındayken, Next.js varsayılan görüntü yükleyici ile kendi sunucusunda barındırıldığında, Image Optimization API yerel görüntüleri herhangi bir maksimum boyut sınırı uygulamadan tamamen belleğe alır. Bir saldırgan, images.localPatterns yapılandırmasıyla eşleşen büyük yerel varlıkları /_next/image uç noktasından talep ederek bellek yetersizliği (out-of-memory) durumlarına neden olabilir (varsayılan olarak tüm desenlere izin verilir). Bu güvenlik açığı 15.5.16 ve 16.2.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.16, 16.2.5 ya da sonraki bir sürüm
- next15.5.16, 16.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 10.0.0 ≤ v < 15.5.16, 16.0.0 ≤ v < 16.2.5 | 15.5.16, 16.2.5 |
| nextnpm | 10.0.0 ≤ v < 15.5.16, 16.0.0 ≤ v < 16.2.5 | 15.5.16, 16.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.