next-security-check

Vérifiez un projet Next.js par rapport aux avis de sécurité Next.js du 14 octobre 2026 en une seule commande, sans dépendances :

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw) : exécution de code à distance dans l'API d'optimisation d'images avec SVG, via sharp (critique)
• GHSA-673q-mjm6-r5xr : exécution de code à distance dans les fonctions use cache renvoyant des tableaux typés (critique, Next.js 16)
• GHSA-p3m5-59mp-jv5r : déni de service dans les Server Actions (élevée)
• GHSA-xqc2-xf4c-x3h3 : paquets React Server Components, s'ils sont installés directement (critique)

Il lit les versions réellement installées dans node_modules (arborescences npm, pnpm ou yarn, y compris les copies imbriquées), et non les plages de versions de package.json, et analyse votre code source à la recherche de "use cache", "use server" et next/image.

Article complet : Mise à jour de sécurité Next.js, octobre 2026

Utilisation

Nécessite Node.js 18 ou ultérieur. Exécutez-le à la racine du projet après avoir installé les paquets :

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # current folder
node next-security-check.mjs ./my-app   # or a path
echo $?                                 # 0 = nothing to do, 1 = action needed

Exemple de sortie

Une installation réelle de Next.js 16.3.0 avec Server Actions et next/image :

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

Le piège sharp sur Next.js 15

Next.js 15.5.28 accepte encore sharp ^0.34.3, et la branche 0.34 n'a aucune version corrigée. Si sharp figure dans votre propre package.json ou est verrouillé dans votre lockfile, la mise à niveau de Next.js le laisse en place. Le vérificateur le signale et suggère npm install sharp@^0.35.5.

Versions corrigées

Branche	Version corrigée
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 ou ultérieur
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

Tests

node --test next-security-check.test.mjs

Huit cas, incluant l'arborescence .pnpm de pnpm, les liens symboliques, le piège sharp de la branche 15.x et les applications Pages Router.

Limitations

• L'analyse du code source examine app, src, pages, components et lib. Le code généré au moment du build ou résidant dans un autre paquet n'est pas détecté. En cas de doute, mettez à niveau.
• Il ne rend compte que des paquets installés. Reconstruisez et redéployez après la mise à niveau ; un serveur en cours d'exécution conserve l'ancien code.

Licence

MIT. Besoin d'un correctif sur mesure ? CodeWares.