next-security-check

Verifica un progetto Next.js rispetto agli avvisi di sicurezza di Next.js del 14 ottobre 2026 con un solo comando, senza dipendenze:

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw): esecuzione di codice remoto nell'API di ottimizzazione delle immagini con SVG, tramite sharp (critica)
• GHSA-673q-mjm6-r5xr: esecuzione di codice remoto nelle funzioni use cache che restituiscono typed array (critica, Next.js 16)
• GHSA-p3m5-59mp-jv5r: denial of service nelle Server Actions (alta)
• GHSA-xqc2-xf4c-x3h3: pacchetti React Server Components, se installati direttamente (critica)

Legge le versioni effettivamente installate in node_modules (layout npm, pnpm o yarn, incluse le copie annidate), non gli intervalli in package.json, e analizza il tuo codice sorgente alla ricerca di "use cache", "use server" e next/image.

Analisi completa: Aggiornamento di sicurezza di Next.js, ottobre 2026

Utilizzo

Richiede Node.js 18 o successivo. Eseguilo nella radice del progetto dopo aver installato i pacchetti:

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # current folder
node next-security-check.mjs ./my-app   # or a path
echo $?                                 # 0 = nothing to do, 1 = action needed

Esempio di output

Un'installazione reale di Next.js 16.3.0 con Server Actions e next/image:

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

La trappola di sharp su Next.js 15

Next.js 15.5.28 accetta ancora sharp ^0.34.3, e la linea 0.34 non ha una release corretta. Se sharp è nel tuo package.json o bloccato nel tuo lockfile, aggiornare Next.js lo lascia al suo posto. Il checker segnala questo e suggerisce npm install sharp@^0.35.5.

Versioni corrette

Linea	Release corretta
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 o successivo
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

Test

node --test next-security-check.test.mjs

Otto casi, inclusi il layout .pnpm di pnpm, i symlink, la trappola di sharp nella 15.x e le app con Pages Router.

Limitazioni

• L'analisi del codice sorgente esamina app, src, pages, components e lib. Il codice generato in fase di build o presente in un altro pacchetto non viene rilevato. In caso di dubbio, aggiorna.
• Riporta solo i pacchetti installati. Ricompila e ridistribuisci dopo l'aggiornamento; un server in esecuzione mantiene il vecchio codice.

Licenza

MIT. Ti serve una patch? CodeWares.