next-security-check

Verifique um projeto Next.js em relação aos avisos de segurança do Next.js de 14 de outubro de 2026 com um único comando, sem dependências:

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw): execução remota de código na API de Otimização de Imagens com SVG, via sharp (crítica)
• GHSA-673q-mjm6-r5xr: execução remota de código em funções use cache que retornam typed arrays (crítica, Next.js 16)
• GHSA-p3m5-59mp-jv5r: negação de serviço em Server Actions (alta)
• GHSA-xqc2-xf4c-x3h3: pacotes React Server Components, se instalados diretamente (crítica)

Ele lê as versões realmente instaladas em node_modules (layouts npm, pnpm ou yarn, incluindo cópias aninhadas), não os intervalos em package.json, e verifica seu código-fonte em busca de "use cache", "use server" e next/image.

Análise completa: Atualização de segurança do Next.js, outubro de 2026

Uso

Requer Node.js 18 ou superior. Execute na raiz do projeto após instalar os pacotes:

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # pasta atual
node next-security-check.mjs ./my-app   # ou um caminho
echo $?                                 # 0 = nada a fazer, 1 = ação necessária

Exemplo de saída

Uma instalação real do Next.js 16.3.0 com Server Actions e next/image:

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

A armadilha do sharp no Next.js 15

O Next.js 15.5.28 ainda aceita sharp ^0.34.3, e a linha 0.34 não tem versão corrigida. Se sharp estiver no seu próprio package.json ou travado no seu lockfile, atualizar o Next.js o deixa no lugar. O verificador sinaliza isso e sugere npm install sharp@^0.35.5.

Versões corrigidas

Linha	Versão corrigida
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 ou superior
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

Testes

node --test next-security-check.test.mjs

Oito casos, incluindo o layout .pnpm do pnpm, symlinks, a armadilha do sharp na linha 15.x e aplicações com Pages Router.

Limitações

• A verificação do código-fonte examina app, src, pages, components e lib. Código gerado em tempo de build ou que reside em outro pacote não é visto. Em caso de dúvida, atualize.
• Ele reporta apenas os pacotes instalados. Recompile e reimplante após atualizar; um servidor em execução mantém o código antigo.

Licença

MIT. Precisa que seja corrigido para você? CodeWares.