amansin001/next-security-checkकिसी Next.js प्रोजेक्ट की जाँच 14 अक्टूबर, 2026 की सुरक्षा सलाहों (CVE-2026-96889, use cache RCE, Server Actions DoS) के विरुद्ध करें। कोई निर्भरता नहीं।
किसी Next.js प्रोजेक्ट को 14 अक्टूबर, 2026 के Next.js सुरक्षा सलाहकारों के विरुद्ध एक ही कमांड में जाँचें, बिना किसी निर्भरता के:
sharp के माध्यम से (गंभीर)use cache फ़ंक्शन्स में रिमोट कोड एक्ज़ीक्यूशन (गंभीर, Next.js 16)यह node_modules में वास्तव में इंस्टॉल किए गए वर्ज़न पढ़ता है (npm, pnpm या yarn लेआउट, नेस्टेड कॉपियों सहित), न कि package.json में दी गई रेंज, और आपके सोर्स में "use cache", "use server" और next/image को स्कैन करता है।
पूरा विवरण: Next.js security update, October 2026
Node.js 18 या उससे नया आवश्यक है। पैकेज इंस्टॉल करने के बाद इसे प्रोजेक्ट रूट में चलाएँ:
curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs # current folder
node next-security-check.mjs ./my-app # or a path
echo $? # 0 = nothing to do, 1 = action needed
Server Actions और next/image के साथ Next.js 16.3.0 का वास्तविक इंस्टॉल:
Next.js security check (October 14, 2026 advisories)
next: 16.3.0
sharp: 0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes
FIX CVE-2026-96889 Image Optimization RCE with SVG (critical)
your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX GHSA-673q-mjm6-r5xr use cache RCE (critical, Next.js 16)
no "use cache" found; Vercel still says upgrade
Fix: next 16.4.1
FIX GHSA-p3m5-59mp-jv5r Server Actions denial of service (high)
your code has "use server"
Fix: next 16.4.1
ok GHSA-xqc2-xf4c-x3h3 React Server Components packages (critical)
not installed directly (Next.js bundles its own)
Action needed: upgrade, reinstall, rebuild and redeploy.
Next.js 15.5.28 अभी भी sharp ^0.34.3 स्वीकार करता है, और 0.34 लाइन का कोई फ़िक्स्ड रिलीज़ नहीं है। यदि sharp आपके अपने package.json में है या आपकी लॉकफ़ाइल में लॉक है, तो Next.js अपग्रेड करने पर वह वहीं रहता है। चेकर इसकी ओर इशारा करता है और npm install sharp@^0.35.5 सुझाता है।
| लाइन | फ़िक्स्ड रिलीज़ |
|---|---|
| Next.js 16 | 16.4.1 |
| Next.js 15 | 15.5.28 |
| sharp | 0.35.5 या बाद का |
| react-server-dom-* | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
node --test next-security-check.test.mjs
आठ केस, जिनमें pnpm का .pnpm लेआउट, सिमलिंक, 15.x का sharp जाल और Pages Router ऐप्स शामिल हैं।
app, src, pages, components और lib को देखता है। बिल्ड समय पर जनरेट किया गया कोड या किसी अन्य पैकेज में मौजूद कोड नहीं दिखता। संदेह होने पर अपग्रेड करें।MIT. इसे आपके लिए पैच करवाना चाहते हैं? CodeWares।