
Controllore e correttore per tutte e 13 le vulnerabilità nel rilascio di sicurezza di Next.js di maggio 2026 (CVE-2026-23870)
Strumento CLI per la verifica e la correzione di tutte e 13 le vulnerabilità presenti nel Security Release di Next.js di maggio 2026, inclusa CVE-2026-23870 (DoS nei React Server Components).
# Modalità interattiva (consigliata)
npx @emstack/nextjs-cve-2026-23870-checker
# Verifica un progetto
npx @emstack/nextjs-cve-2026-23870-checker ~/my-app
# Correggi
npx @emstack/nextjs-cve-2026-23870-checker ~/my-app --fix
| ID | Gravità | Descrizione |
|---|
| GHSA-8h8q-6873-q5fj | Alta | CVE-2026-23870 — DoS nei React Server Components |
| GHSA-267c-6grr-h53f | Alta | Bypass autorizzazione URL segment-prefetch in App Router |
| GHSA-26hh-7cqf-hhc6 | Alta | Follow-up correttivo incompleto per il bypass segment-prefetch |
| GHSA-36qx-fr4f-26g5 | Alta | Il path con locale predefinito i18n bypassa l'autorizzazione del proxy |
| GHSA-492v-c6pp-mqqv | Alta | Iniezione di parametri di route dinamici che consente il bypass |
| GHSA-mg66-mrh9-m8jx | Alta | Esaurimento delle connessioni che interessa i Cache Components |
| GHSA-c4j6-fc7j-m34r | Alta | SSRF tramite richiesta di upgrade WebSocket |
| GHSA-h64f-5h5j-jqjh | Media | Sfruttamento dell'API di ottimizzazione immagini (DoS) |
| GHSA-wfc6-r584-vfw7 | Media | Poisoning della risposta RSC (cache) |
| GHSA-ffhc-5mcf-pf4q | Media | Perdita di nonce CSP in App Router |
| GHSA-gx5p-jg67-6x7h | Media | XSS tramite input non fidato negli script beforeInteractive |
| GHSA-3g8h-86w9-wvmq | Bassa | Poisoning della cache tramite reindirizzamenti middleware |
| GHSA-vfv6-92ff-j949 | Bassa | Vulnerabilità di collisione nel cache-busting |
| Pacchetto | Vulnerabile | Patch |
|---|---|---|
next 13.x, 14.x | Tutte le versioni | Aggiornare a 15.5.18 o 16.2.6 |
next 15.x | ≤ 15.5.17 | 15.5.18 |
next 16.x | ≤ 16.2.5 | 16.2.6 |
react-server-dom-* 19.0.x | ≤ 19.0.5 | 19.0.6 |
react-server-dom-* 19.1.x | ≤ 19.1.6 | 19.1.7 |
react-server-dom-* 19.2.x | ≤ 19.2.5 | 19.2.6 |
Pacchetti react-server-dom-* controllati: webpack, turbopack, bun, esm, deno.
Nota: La correzione (patching) è l'unica mitigazione completa. Non esiste protezione a livello WAF per queste vulnerabilità.
Avviata automaticamente quando non vengono forniti argomenti. Analizza una directory radice per individuare progetti Next.js, permette di scegliere quali scansionare e, opzionalmente, applica le correzioni.
npx @emstack/nextjs-cve-2026-23870-checker
npx @emstack/nextjs-cve-2026-23870-checker -i
npx @emstack/nextjs-cve-2026-23870-checker /path/to/your/nextjs-app
Termina con codice 1 se vengono trovate vulnerabilità — sicuro per CI.
npx @emstack/nextjs-cve-2026-23870-checker ~/app1 ~/app2 ~/app3
Stampa un report per progetto e una riga di riepilogo alla fine.
npx @emstack/nextjs-cve-2026-23870-checker ~/my-app --dry-run
Aggiorna package.json ed esegue il comando di installazione appropriato (bun, pnpm, yarn o npm — rilevato automaticamente dal lockfile).
npx @emstack/nextjs-cve-2026-23870-checker ~/my-app --fix
# Correggi più progetti contemporaneamente
npx @emstack/nextjs-cve-2026-23870-checker ~/app1 ~/app2 --fix
npx @emstack/nextjs-cve-2026-23870-checker ~/my-app --json
Usage:
npx @emstack/nextjs-cve-2026-23870-checker [path...] [options]
Arguments:
path Project path(s) to scan (default: .)
Options:
-i, --interactive Interactive mode (default when no args given)
--fix Update package.json and run install
--dry-run Show what would change without writing files
--json Output results as JSON
--help, -h Show this help
bun install
bun run dev /path/to/your/nextjs-app
bun run build # produces dist/cli.js
Next.js May 2026 Security Release — 13 advisories
Scanning: /my-app
✗ Found 2 vulnerable package(s):
next
Installed: ^15.3.0 → Fix: 15.5.18
Advisories (13):
[High] [CVE-2026-23870] GHSA-8h8q-6873-q5fj — DoS in React Server Components
[High] GHSA-267c-6grr-h53f — Segment-prefetch URL authorization bypass in App Router
...
react-server-dom-webpack
Installed: ^19.1.5 → Fix: 19.1.7
Advisories (2):
[High] [CVE-2026-23870] GHSA-8h8q-6873-q5fj — DoS in React Server Components
[Moderate] GHSA-wfc6-r584-vfw7 — RSC response poisoning (cache)
Patching is the only complete mitigation. WAF-level protection unavailable.
Source: https://vercel.com/changelog/next-js-may-2026-security-release
Run with --fix to update package.json and install patched versions.
MIT