Vercel behebt mit dem August-Update zwei kritische Sicherheitslücken im JavaScript-Framework Next.js. In beiden Fällen können Angreifer eigenen Code ausführen und so Daten entwenden oder Systeme sabotieren.

terminal
npm install next@15.5.24 # for 15.5
npm install next@16.3.3 # for 16.3

Die erste Lücke erreicht einen CVSS-Wert von 9,8. Ursache ist die Bibliothek libheif, die Next.js für die Bildoptimierung einbindet: Ruft eine Anwendung deren Funktion heif_decode_image() beim Verarbeiten von AVIF-Dateien auf, kann es zu einem Pufferüberlauf im Heap-Speicher kommen.

Die zweite Schwachstelle trägt die Kennung CVE-2026-75604 und erhält einen CVSS-Wert von 9. Sie betrifft Next.js unter Windows, sofern Pages- oder App-Router ohne Cache-Komponente zum Einsatz kommen. Einen Workaround gibt es laut Vercel nicht, daher rät der Hersteller zu einem sofortigen Update. Alle Versionen vor 15.5.24 und 16.3.3 sind betroffen.

Nach Angaben von Vercel bleibt die eigene Hosting-Plattform verschont, weil dort weder AVIF-Optimierung zum Einsatz kommt noch Windows läuft, sondern Linux. Seit Juli veröffentlicht Vercel Sicherheitsupdates in einem festen monatlichen Rhythmus.