next-security-check

Prüft ein Next.js-Projekt mit einem einzigen Befehl gegen die Next.js-Sicherheitshinweise vom 14. Oktober 2026, ohne Abhängigkeiten:

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw): Remote-Code-Ausführung in der Image Optimization API mit SVG über sharp (kritisch)
• GHSA-673q-mjm6-r5xr: Remote-Code-Ausführung in use cache-Funktionen, die typisierte Arrays zurückgeben (kritisch, Next.js 16)
• GHSA-p3m5-59mp-jv5r: Denial of Service in Server Actions (hoch)
• GHSA-xqc2-xf4c-x3h3: React Server Components-Pakete, falls direkt installiert (kritisch)

Es liest die tatsächlich installierten Versionen in node_modules (npm-, pnpm- oder yarn-Layouts, einschließlich verschachtelter Kopien), nicht die Bereiche in package.json, und durchsucht deinen Quellcode nach "use cache", "use server" und next/image.

Vollständige Analyse: Next.js security update, October 2026

Verwendung

Erfordert Node.js 18 oder neuer. Führe es im Projektstamm aus, nachdem die Pakete installiert wurden:

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # current folder
node next-security-check.mjs ./my-app   # or a path
echo $?                                 # 0 = nothing to do, 1 = action needed

Beispielausgabe

Eine echte Installation von Next.js 16.3.0 mit Server Actions und next/image:

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

Die sharp-Falle bei Next.js 15

Next.js 15.5.28 akzeptiert weiterhin sharp ^0.34.3, und die 0.34-Reihe hat keine fehlerbereinigte Version. Wenn sharp in deiner eigenen package.json steht oder in deiner Lockfile fixiert ist, bleibt es beim Upgrade von Next.js an Ort und Stelle. Der Checker meldet dies und schlägt npm install sharp@^0.35.5 vor.

Behobene Versionen

Reihe	Behobene Version
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 oder neuer
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

Tests

node --test next-security-check.test.mjs

Acht Fälle, darunter das .pnpm-Layout von pnpm, Symlinks, die sharp-Falle bei 15.x und Apps mit Pages Router.

Einschränkungen

• Der Quellcode-Scan betrachtet app, src, pages, components und lib. Zur Build-Zeit generierter Code oder Code in einem anderen Paket wird nicht erfasst. Im Zweifel aktualisieren.
• Es werden nur die installierten Pakete gemeldet. Nach dem Upgrade neu bauen und erneut bereitstellen; ein laufender Server behält den alten Code.

Lizenz

MIT. Benötigst du einen Patch dafür? CodeWares.