Next.js lança correções de segurança para vulnerabilidades de SSRF em imagens e envenenamento de cache

A Vercel disponibilizou atualizações de segurança para o Next.js com o objetivo de corrigir múltiplas vulnerabilidades que afetam a otimização de imagens, o armazenamento em cache e os servidores de desenvolvimento. As correções foram entregues nas versões 16.3.8 para Active LTS e 15.5.27 para Maintenance LTS, após adiamentos causados por atualizações em dependências de nível superior.

SSRF de alta severidade na otimização de imagens

Uma vulnerabilidade do tipo Server-Side Request Forgery de alta severidade, rastreada como CVE-2026-94483, afeta a otimização de imagens do Next.js. Quando listas de permissões remotas estão configuradas, uma URL controlada por um atacante pode disparar requisições direcionadas a faixas de IP internas. Aplicações que operam sem padrões remotos definidos não estão expostas a essa falha.

Envenenamento de cache e vazamento de conteúdo

As atualizações resolvem diversas falhas de gravidade média no cache entre arquiteturas de geração estática e renderização incremental. O CVE-2026-94543 permite a substituição de entradas de cache em configurações auto-hospedadas do Pages Router com SSG ou ISR, fazendo com que conteúdos incorretos sejam exibidos até que ocorra a revalidação. Essa questão não afeta implementações hospedadas na Vercel. Além disso, o CVE-2026-94484 permite que uma requisição não autenticada envenene caches de resposta compartilhados em aplicações que usam rotas genéricas (catch-all) no nível raiz junto a recursos estáticos.

Projetos que utilizam componentes experimentais de cache também enfrentaram vazamentos. Funções aninhadas em cache podiam omitir parâmetros raiz de suas chaves de cache, fornecendo conteúdo inconsistente entre requisições. Adicionalmente, o CVE-2026-94544 permitia que conteúdos não publicados do modo de pré-visualização (Draft Mode) vazassem para respostas públicas em cache quando requisições concorrentes se sobrepunham durante o preenchimento do cache.

Bypass em rotas de metadados e exposição no servidor de dev

Outras correções abordam imagens de metadados no App Router criadas com webpack (CVE-2026-94485), em que os limites de segmentos dinâmicos eram ignorados para gerar rotas de imagens excluídas; compilações realizadas com Turbopack não foram afetadas. Por fim, o CVE-2026-94486 resolve um problema de verificação de origem no endpoint do Model Context Protocol do servidor de desenvolvimento, que permitia a sites de terceiros maliciosos extrair caminhos de arquivos locais, inventários de rotas e trechos de código durante sessões de desenvolvimento.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: September 2026 Security Release