Next.js 修复严重 AVIF 与 Windows 漏洞，可导致未认证 RCE

Vercel 已为 Next.js Web 框架中的两个严重性漏洞发布安全补丁，两者都允许未经身份验证的远程代码执行——一个可通过特制的 AVIF 图像文件利用，另一个通过影响使用 Windows 文件系统服务器的路径遍历漏洞利用。
被追踪为 CVE-2026-75604（CVSS 评分：9.0）的 Windows 路径遍历漏洞，影响在服务器使用 Windows 文件系统时，同时使用 Pages Router 和未启用 Cache Components 的 App Router 的 Next.js 应用程序。
Linux 和 macOS 部署不受影响。
"对于受影响的 Windows 托管应用程序，没有已知的变通方案。如果您的服务器托管在 Windows 上，应立即升级，"Vercel 在其安全公告中表示。
修复程序已包含在 2026 年 8 月 25 日发布的 Next.js 15.5.24（维护 LTS）和 16.3.3（活跃 LTS）中。受影响用户可通过运行 npm install next@15.5.24（针对 15.5 系列）或 npm install next@16.3.3（针对 16.3 系列）进行升级。
Vercel 在 8 月 25 日发布的变更日志条目中表示，托管在 Vercel 上的应用程序受到针对这两个漏洞的保护，无需升级。
该漏洞影响 Next.js 13.4 至 15.5.23 版本以及 16.0 至 16.3.2 版本。
安全公告中未披露攻击机制。Vercel 的变更日志还将研究人员 evolutionstorm 和 B0RI 列为 Windows 漏洞的负责任披露者。
AVIF 图像优化漏洞
Next.js 使用 sharp 图像处理包来优化图像，而 sharp 依赖 libheif C 库来解析 AVIF 文件。
当 Next.js 处理攻击者控制的 AVIF 图像时，libheif 中的严重堆缓冲区溢出可导致远程代码执行（GHSA-2xp9-vwfh-vxw4，CVSS v4：9.5）。
底层漏洞由 libheif 维护者披露为 GHSA-g89c-p67h-r497，涉及该库图像缩放代码中的堆缓冲区溢出。
所有直到 v1.23.1 的 libheif 版本均受影响。AVIF 安全公告涵盖 Next.js 10.0.0 至 15.5.23 版本以及所有 16.x 版本直至 16.3.2。
包含嵌套身份派生和辅助项目引用的特制 AVIF 文件，会导致 libheif 构建一个具有两个不同位深 Alpha 平面条目的解码图像。
缩放器分配了一个针对第一个 8 位 Alpha 条目大小调整的目标缓冲区，但随后将来自第二个条目的 16 位采样值写入同一缓冲区，在分配边界之外覆盖了大约 16,384 字节。
公告中提到的研究人员 rootxharsh（发现者）和 KarimPwnz（协调者）随 libheif 披露一起发布了一个完整的 Python 概念验证，可在地址消毒器构建下重现堆破坏。
libheif 公告将 rootxharsh 归为发现者、KarimPwnz 归为协调者，但 Vercel 的变更日志将披露归功于 Hacktron 团队。
"我们能够在多个应用程序上利用此漏洞实现 RCE，"研究人员在 libheif 公告中表示。
概念验证演示了越界写入，研究人员关于在多个应用程序上实现远程代码执行的声明尚未得到独立证实。
Next.js 仅在站点在 next.config.js 中明确将 image/avif 添加到 formats 配置时才启用 AVIF 优化。未进行该配置的部署不会暴露于该漏洞。
已修补的 Next.js 版本完全关闭了 AVIF 优化，直到上游修复从 libheif 传播。The Hacker News 于 2026 年 8 月 27 日通过 libheif GitHub 发布页面确认 v1.23.2 尚未发布。
Vercel 原计划将 8 月补丁安排在 8 月 26 日作为其月度安全节奏的一部分，但在发现其上游依赖项中一个额外的严重性漏洞后，将发布提前了一天。
"今天早些时候，在识别出我们一个上游依赖项中的额外严重性漏洞后，我们将发布提前了，"Josh Story、Karim Rahal 和 Sebastian Silbermann 在 Vercel 的安全博客文章中表示。
8 月发布是 Vercel 正式月度安全计划下的第二次发布，该公司于 2026 年 7 月宣布了该计划。
"在 LLM 辅助发现的推动下，行业中的漏洞研究量正在快速增长，"Andrew Imm 和 Josh Story 在 7 月 13 日的计划公告中表示。
首次计划发布（7 月 21 日发布）解决了 Next.js 16.2.11 和 15.5.21 中的九个漏洞，涵盖拒绝服务、服务器端请求伪造和中间件绕过类别。
已安装 7 月补丁的用户仍需要 8 月升级。
过去两年中，Next.js 经历了一系列严重安全披露，包括 2025 年 3 月的一个严重中间件绕过漏洞，该漏洞允许未经身份验证的攻击者在自托管部署中跳过授权检查。
2025 年 12 月披露的 React Server Components 中的 React2Shell 反序列化漏洞，CVSS 评分为 10.0，并在公开披露后数小时内被积极利用。
截至 2026 年 8 月 27 日，尚未报告这两个 8 月漏洞的任何利用。The Hacker News 联系了 Vercel 寻求评论，截至发稿时尚未收到回复。