Next.js vá lỗi nghiêm trọng trên Windows và AVIF
"Vercel released Next.js security updates to address two critical unauthenticated RCE issues: a Windows-only path traversal flaw tracked as CVE-2026-75604 and an AVIF image processing flaw tied to a heap buffer overflow in libheif (GHSA-2xp9-vwfh-vxw4 / GHSA-g89c-p67h-r497). The fixes are included in Next.js 15.5.24 and 16.3.3; AVIF optimization is disabled in the patched releases until the upstream libheif fix is available, and Windows-hosted deployments are urged to upgrade immediately."
Ảnh hưởng ở mức rất cao do có thể dẫn đến RCE không cần xác thực, đặc biệt trên Windows-hosted deployments và các ứng dụng bật AVIF optimization. Cần nâng cấp ngay để giảm rủi ro khai thác.
Có thể gây gián đoạn dịch vụ, phát sinh rủi ro chiếm quyền máy chủ và yêu cầu triển khai bản vá khẩn cấp. Các đội vận hành cần kiểm tra nhanh cấu hình và lịch cập nhật để hạn chế downtime.
Vercel đã phát hành bản cập nhật bảo mật cho Next.js để khắc phục hai lỗ hổng nghiêm trọng có thể dẫn đến thực thi mã từ xa không cần xác thực. Lỗ hổng thứ nhất là CVE-2026-75604, lỗi path traversal chỉ ảnh hưởng đến máy chủ dùng Windows filesystem khi ứng dụng kết hợp Pages Router và App Router mà không dùng Cache Components. Theo khuyến cáo, Linux và macOS không bị ảnh hưởng, và hiện không có biện pháp khắc phục tạm thời cho hệ thống Windows ngoài việc nâng cấp.
Lỗ hổng thứ hai liên quan đến xử lý ảnh AVIF trong Next.js. Thành phần sharp phụ thuộc vào libheif, và một lỗi heap buffer overflow trong thư viện này có thể bị khai thác khi ứng dụng xử lý tệp AVIF do kẻ tấn công kiểm soát. Bản vá đã được đưa vào Next.js 15.5.24 và 16.3.3; đồng thời, AVIF optimization bị tắt tạm thời trong các bản đã vá cho đến khi có sửa lỗi từ upstream libheif.
Quản trị viên nên nâng cấp ngay nếu triển khai trên Windows, kiểm tra cấu hình image/avif trong next.config.js, và ưu tiên cập nhật các môi trường đang dùng Next.js 13.4–15.5.23 hoặc 16.0–16.3.2.