A Vercel divulgou e corrigiu nove vulnerabilidades de segurança no Next.js, um framework React amplamente utilizado, abordando falhas que poderiam permitir falsificação de requisição no lado do servidor (SSRF), bypass de autenticação de middleware, ataques de negação de serviço (DoS) e exposição de dados sensíveis.
Descoberta e escopo
Todas as nove advertências foram publicadas há dois dias pelo pesquisador de segurança KarimPwnz e agora estão corrigidas nas versões 15.5.21 e 16.2.11 do Next.js. A Vercel anunciou anteriormente que lançaria um programa de lançamento de segurança mensal, e esta atualização abordará nove vulnerabilidades em versões suportadas do framework.
O que mudou agora
A questão mais crítica, rastreada como CVE-2026-64645 (GHSA-p9j2-gv94-2wf4), é uma vulnerabilidade de SSRF de alta severidade que afeta o recurso de reescritas. Nela, um nome de host de destino controlado pelo atacante pode forçar o servidor a enviar solicitações para endpoints internos arbitrários. Esta falha impacta as versões do Next.js 12.0.0 até 15.5.21 e 16.0.0 até 16.2.11, sendo explorável quando uma regra de reescritas() ou redirecionamentos() constrói seu nome de host de destino a partir de dados de solicitação fornecidos pelo usuário.
Uma segunda vulnerabilidade de SSRF de alta severidade, CVE-2026-64649 (GHSA-89xv-2m56-2m9x), afeta as Ações do Servidor executadas em servidores Node.js personalizados, permitindo que atacantes redirecionem solicitações de Ação do Servidor de saída para um host que controlam.
Separadamente, CVE-2026-64642 (GHSA-6gpp-xcg3-4w24) permite um bypass de middleware e proxy em aplicativos do App Router que usam builds do Turbopack com middleware.ts legado e configurações de i18n de único idioma, potencialmente permitindo que atacantes pulem completamente as verificações de autorização.
Arredondando a lista de alta severidade, CVE-2026-64641 (GHSA-m99w-x7hq-7vfj) permite que atacantes desencadeiem condições de DoS em aplicativos do App Router por meio de solicitações de Ações do Servidor maliciosas.
Vetor e exploração
Duas vulnerabilidades de DoS de severidade moderada também foram corrigidas: CVE-2026-64646 (GHSA-4c39-4ccg-62r3) envolve payloads de Ação do Servidor ilimitados no tempo de execução Edge que podem esgotar a memória, enquanto CVE-2026-64644 (GHSA-q8wf-6r8g-63ch) permite que atacantes derrubem a API de Otimização de Imagens enviando arquivos SVG maliciosos.
Duas vulnerabilidades de confusão de cache de severidade moderada, CVE-2026-64648 (GHSA-68g3-v927-f742) e CVE-2026-64647 (GHSA-4633-3j49-mh5q), podem fazer com que os corpos de resposta sejam misturados entre solicitações diferentes quando os aplicativos usam chamadas fetch() em cache com corpos de solicitação, incluindo aqueles que contêm sequências de bytes UTF-8 inválidas. Isso pode levar aos dados de um usuário sendo servidos a outro usuário sob certas configurações de cache.
Uma questão moderada final, CVE-2026-64643 (GHSA-955p-x3mx-jcvp), expõe identificadores de endpoint de Função do Servidor interna para atacantes não autenticados quando os Componentes de Cache são usados junto com Ações do Servidor reflexivas, embora a Vercel note que o vazamento é limitado a identificadores opacos, em vez de credenciais ou dados pessoais.
Impacto e alcance
As vulnerabilidades abrangem uma ampla faixa do ecossistema Next.js, com intervalos de versão afetados começando tão cedo quanto 12.0.0 para a falha de SSRF de reescritas e 13.0.0 para várias questões de DoS e cache.
Versões principais mais antigas, como 13.x e 14.x, não receberão patches diretos; as organizações que executam essas versões devem fazer upgrade para uma versão fixa 15.x ou 16.x.
| Vulnerabilidade | CVE | Severidade |
|---|---|---|
| SSRF em reescritas | CVE-2026-64645 | Alta |
| SSRF em Ações do Servidor (servidores personalizados) | CVE-2026-64649 | Alta |
| Bypass de middleware/proxy | CVE-2026-64642 | Alta |
| DoS via Ações do Servidor | CVE-2026-64641 | Alta |
| Payload Edge ilimitado | CVE-2026-64646 | Moderada |
| DoS de Otimização de Imagem (SVG) | CVE-2026-64644 | Moderada |
| Confusão de cache (corpos) | CVE-2026-64648 | Moderada |
| Confusão de cache (UTF-8 inválido) | CVE-2026-64647 | Moderada |
| Divulgação de endpoint de Função do Servidor | CVE-2026-64643 | Moderada |
Medidas de mitigação recomendadas
As equipes de segurança devem atualizar o Next.js para 15.5.21 ou 16.2.11 imediatamente e auditar configurações para reescritas, servidores personalizados, middleware Turbopack e Componentes de Cache para determinar a exposição específica.
O que os CISOs devem fazer imediatamente
1. Atualizar o Next.js para as versões corrigidas (15.5.21 ou 16.2.11) em todos os ambientes de produção e staging. 2. Revisar as configurações de reescritas e redirecionamentos para garantir que não estejam construindo destinos a partir de dados de entrada do usuário sem validação adequada. 3. Auditar o uso de Ações do Servidor em servidores Node.js personalizados para mitigar riscos de SSRF. 4. Verificar configurações de middleware e i18n para evitar bypasses de autenticação. 5. Monitorar logs de aplicação para detectar tentativas de DoS via Ações do Servidor ou uploads de SVG maliciosos. 6. Revisar o uso de Componentes de Cache para evitar confusão de resposta entre usuários.
Perguntas frequentes
As versões 13.x e 14.x receberão patches? Não. Versões principais mais antigas não receberão patches diretos. As organizações devem fazer upgrade para uma versão fixa 15.x ou 16.x.
Qual é o risco mais crítico? A vulnerabilidade de SSRF (CVE-2026-64645) é considerada a mais crítica devido à sua capacidade de forçar o servidor a enviar solicitações para endpoints internos arbitrários.
Como posso verificar se estou vulnerável? Verifique a versão do Next.js em seu projeto. Se estiver entre 12.0.0 e 15.5.20 ou 16.0.0 e 16.2.10, você está vulnerável.