next-security-check

단 하나의 명령으로 Next.js 프로젝트를 2026년 10월 14일 Next.js 보안 권고문에 대해 검사합니다. 의존성은 없습니다:

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw): sharp를 통한 SVG 이미지 최적화 API의 원격 코드 실행 (치명적)
• GHSA-673q-mjm6-r5xr: 타입 배열을 반환하는 use cache 함수의 원격 코드 실행 (치명적, Next.js 16)
• GHSA-p3m5-59mp-jv5r: Server Actions의 서비스 거부 (높음)
• GHSA-xqc2-xf4c-x3h3: React Server Components 패키지, 직접 설치된 경우 (치명적)

package.json의 버전 범위가 아니라 node_modules에 실제로 설치된 버전(npm, pnpm 또는 yarn 레이아웃, 중첩된 복사본 포함)을 읽고, 소스에서 "use cache", "use server", next/image를 스캔합니다.

전체 설명: Next.js 보안 업데이트, 2026년 10월

사용법

Node.js 18 이상이 필요합니다. 패키지를 설치한 후 프로젝트 루트에서 실행하세요:

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # current folder
node next-security-check.mjs ./my-app   # or a path
echo $?                                 # 0 = nothing to do, 1 = action needed

출력 예시

Server Actions와 next/image를 사용하는 Next.js 16.3.0의 실제 설치 환경:

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

Next.js 15의 sharp 함정

Next.js 15.5.28은 여전히 sharp ^0.34.3을 허용하며, 0.34 계열에는 수정된 릴리스가 없습니다. sharp가 여러분의 package.json에 있거나 lockfile에 고정되어 있다면, Next.js를 업그레이드해도 그대로 남습니다. 검사기는 이를 표시하고 npm install sharp@^0.35.5를 제안합니다.

수정된 버전

계열	수정된 릴리스
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 이상
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

테스트

node --test next-security-check.test.mjs

pnpm의 .pnpm 레이아웃, 심볼릭 링크, 15.x sharp 함정, Pages Router 앱을 포함한 8가지 사례.

제한 사항

• 소스 스캔은 app, src, pages, components, lib를 살펴봅니다. 빌드 시 생성된 코드나 다른 패키지에 있는 코드는 확인되지 않습니다. 확실하지 않다면 업그레이드하세요.
• 설치된 패키지만 보고합니다. 업그레이드 후에는 다시 빌드하고 재배포하세요. 실행 중인 서버는 이전 코드를 계속 유지합니다.

라이선스

MIT. 패치를 대신 적용해 드릴까요? CodeWares.