文章总结： Next.js框架被曝出两个高危RCE漏洞：CVE-2026-75604（路径遍历，CVSS9.0，仅影响Windows）和AVIF图片解析漏洞（CVSS9.5）。影响版本广泛，周下载量4500万。建议立即升级至15.5.24或16.3.3版本，AVIF漏洞可临时关闭图片优化功能。官方暂未监测到野外利用，但需尽快修复。 综合评分： 80 文章分类： 漏洞分析,漏洞预警,WEB安全

周下载4500万！Next.js曝出双高危RCE漏洞，Windows环境风险极高

小雪 小雪

看雪学苑

2026年8月26日 18:06 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Vercel 近日修复了 Next.js 框架的两处关键高危安全漏洞，均允许攻击者在无需身份认证的条件下实现远程代码执行（RCE）。其中 CVE‑2026‑75604 CVSS 9.0，另一处AVIF图片解析漏洞CVSS评分高达9.5。

Next.js npm周下载量达到4500万次，大量企业生产环境在使用该框架，受影响面十分广泛，建议运维人员尽快完成版本修复。

漏洞危害说明

Next.js作为主流全栈Web开发框架，被全球众多大型企业业务所使用。本次两个漏洞均为无需登录认证即可触发，攻击门槛极低。

如果服务器未完成补丁更新，攻击者有可能直接实现服务器完全沦陷，接管业务服务。

漏洞1：CVE‑2026‑75604（路径遍历漏洞，CVSS 9.0）

该漏洞为路径遍历缺陷，仅Windows文件系统环境下会触发远程代码执行。

• 影响范围：Pages Router、App Router（未使用Cache Component）的应用
• 受影响版本：13.4 ~ 15.5.24；16.0 ~ 16.3.3

⚠️ 该漏洞没有临时缓解方案，只能升级版本修复。

漏洞2：AVIF图片优化API漏洞（CVSS 9.5）

漏洞来源于sharp依赖库使用的libheif组件，在处理AVIF格式图片时存在缺陷。

攻击者构造恶意AVIF图片，经过图片优化接口处理后，即可在服务端执行恶意代码。

• 受影响版本：10.0.0 ~ 15.5.24；小于16.3.3版本

野外利用情况

目前官方公告暂未监测到公网已经出现实际利用攻击，也暂未出现公开的PoC验证代码，但高危漏洞一旦公开，很快会出现利用工具，务必提前处置。

修复与缓解措施

1. 优先升级版本

升级至 15.5.24 或者 16.3.3 版本，这两个版本已经修复全部两处漏洞。

2. 临时缓解（仅针对AVIF图片漏洞）

在完成升级前，可以临时关闭AVIF图片优化功能，降低该漏洞攻击风险。

3. 参考官方安全公告

• GHSA‑p293‑qw3h‑jr36

• GHSA‑2xp9‑vwfh‑vxw4

资讯来源：securityonline.info、Vercel Next.js安全公告

球分享

球点赞

球在看

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：看雪学苑 小雪 小雪《周下载4500万！Next.js曝出双高危RCE漏洞，Windows环境风险极高》