next-security-check

Проверьте проект Next.js на соответствие рекомендациям по безопасности Next.js от 14 октября 2026 года одной командой, без зависимостей:

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw): удалённое выполнение кода в API оптимизации изображений с SVG через sharp (критический)
• GHSA-673q-mjm6-r5xr: удалённое выполнение кода в функциях use cache, возвращающих типизированные массивы (критический, Next.js 16)
• GHSA-p3m5-59mp-jv5r: отказ в обслуживании в Server Actions (высокий)
• GHSA-xqc2-xf4c-x3h3: пакеты React Server Components, если установлены напрямую (критический)

Инструмент читает версии, фактически установленные в node_modules (структуры npm, pnpm или yarn, включая вложенные копии), а не диапазоны в package.json, и сканирует исходный код на наличие "use cache", "use server" и next/image.

Полное описание: Обновление безопасности Next.js, октябрь 2026

Использование

Требуется Node.js 18 или новее. Запустите в корне проекта после установки пакетов:

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # current folder
node next-security-check.mjs ./my-app   # or a path
echo $?                                 # 0 = nothing to do, 1 = action needed

Пример вывода

Реальная установка Next.js 16.3.0 с Server Actions и next/image:

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

Ловушка с sharp в Next.js 15

Next.js 15.5.28 по-прежнему допускает sharp ^0.34.3, а в ветке 0.34 нет исправленного релиза. Если sharp указан в вашем собственном package.json или зафиксирован в lock-файле, обновление Next.js оставит его на месте. Проверка выявляет это и предлагает npm install sharp@^0.35.5.

Исправленные версии

Ветка	Исправленный релиз
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 или новее
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

Тесты

node --test next-security-check.test.mjs

Восемь случаев, включая структуру .pnpm от pnpm, символические ссылки, ловушку с sharp в 15.x и приложения на Pages Router.

Ограничения

• Сканирование исходного кода охватывает app, src, pages, components и lib. Код, сгенерированный во время сборки или находящийся в другом пакете, не виден. Если сомневаетесь — обновляйтесь.
• Инструмент сообщает только об установленных пакетах. После обновления пересоберите и повторно разверните приложение; работающий сервер продолжает использовать старый код.

Лицензия

MIT. Нужно, чтобы мы внесли исправления за вас? CodeWares.