# Next.js schließt sieben Sicherheitslücken in den Versionen 16.4.5 und 15.5.29

Am 3. November 2026 hat das Next.js-Team die Versionen 16.4.5 und 15.5.29 veröffentlicht und damit sieben Sicherheitslücken behoben. Mehrere davon konnten in bestimmten Konfigurationen dazu führen, dass einem Kunden oder Nutzer Inhalte angezeigt wurden, die für einen anderen bestimmt waren.

- Seite: https://www.cognivise.co.uk/de/news/next-js-sicherheitsrelease-update-16-4-5-15-5-29
- Original (Englisch): https://www.cognivise.co.uk/news/next-js-security-release-update-16-4-5-15-5-29
- Thema: Software betreiben
- Veröffentlicht: 2026-11-05
- Aktualisiert: 2026-11-05
- Autor: Cognivise
- Quelle: Next.js, November 2026 Security Release (https://nextjs.org/blog/november-2026-security-release)

## Das Wichtigste in Kürze

- Next.js hat am 3. November 2026 die Versionen 16.4.5 und 15.5.29 veröffentlicht, um sieben Schwachstellen zu beheben, eine davon mit hohem Schweregrad.
- Die schwerwiegendsten Probleme konnten in bestimmten Caching-Konfigurationen die Inhalte eines Mandanten oder Nutzers einem anderen anzeigen.
- Unternehmen mit einer Website oder App auf Basis von Next.js sollten ihr Entwicklungsteam bitten, die Version zu prüfen und das Update zügig einzuspielen.

## Was Next.js am 3. November behoben hat

Am 3. November 2026 hat das Next.js-Team im [Next.js-Blog](https://nextjs.org/blog/november-2026-security-release) ein Sicherheitsrelease veröffentlicht, nachdem es dieses in der Woche zuvor angekündigt hatte. Es behebt sieben Schwachstellen: eine mit hohem und sechs mit mittlerem Schweregrad. Die Fixes stecken in Version 16.4.5, der Active-LTS-Linie (Long-Term Support), und in 15.5.29, der Maintenance-LTS-Linie. Das Team bittet alle, die Next.js einsetzen, um ein Update.

Vier der Probleme, darunter das mit hohem Schweregrad, betreffen die Caching-Funktion von Next.js, Cache Components, die Seiten und Daten zur Wiederverwendung speichert:

- Bei dreien konnten Inhalte, die für einen Mandanten, eine Website, eine Sprachversion oder einen Nutzer erstellt wurden, an einen anderen ausgeliefert werden.
- Beim vierten konnte auf selbst gehosteten Websites eine präparierte Webadresse dazu führen, dass gemeinsam genutzte Seiten falsche Inhalte anzeigten oder dauerhaft „Seite nicht gefunden“-Fehler zurückgaben.

Die übrigen drei betreffen eine bestimmte Reverse-Proxy-Konfiguration auf selbst gehosteten Websites, durch die die Antwort für einen Besucher an einen anderen gehen konnte, außerdem Edge-Routen, bei denen Cookie-Werte, die vor Skripten verborgen sein sollten, von JavaScript auf derselben Website gelesen werden konnten, und die Bildoptimierung, bei der eine getarnte SVG-Datei eine Einstellung umgehen konnte, die SVGs blockieren soll.

## Welche Websites und Apps betroffen sind

Sie sind betroffen, wenn Ihre Website, Ihr Onlineshop, Ihr Kundenportal oder Ihre Webanwendung auf Next.js basiert. Am größten ist das Risiko bei Systemen, die mehrere Kunden, Marken, Websites oder Sprachen aus einer Anwendung bedienen und Cache Components nutzen. Dort könnte ein Leck die Daten eines Kunden einem anderen zeigen. Das ist nicht nur ein technisches Problem, sondern auch eines der Vertraulichkeit und des Datenschutzes.

Die meisten Probleme treten nur unter bestimmten Bedingungen auf: aktivierte Cache Components, Self-Hosting statt einer verwalteten Plattform, Edge-Routen, die Cookies auf eine bestimmte Weise setzen, oder ein Bild-Backend, das SVG-Dateien dekodieren kann. Die Quelle schränkt einige davon zudem ein. Das Cookie-Problem setzt voraus, dass bereits ein Skript eines Angreifers auf Ihrer Website läuft, und das Bildproblem allein erlaubt es einem Angreifer nicht, Code auszuführen.

Wenn Ihre Software nicht auf Next.js basiert, betrifft Sie nichts davon.

## Was Sie Ihr Entwicklungsteam jetzt fragen sollten

Die Quelle nennt keine Frist, aber Sicherheitsfixes wie diese sollten zügig eingespielt werden. Bitten Sie die Verantwortlichen für Ihre Website oder App,

- zu bestätigen, ob sie Next.js nutzt und in welcher Version;
- je nach Linie auf 16.4.5 oder 15.5.29 zu aktualisieren;
- bei einer älteren Version den Upgrade-Pfad zu erläutern, da das Release nur diese beiden Linien nennt;
- zu prüfen, ob Sie Cache Components, Self-Hosting, Edge-Routen oder Bildoptimierung nutzen, denn davon hängt ab, wie dringend das Update ist;
- nach dem Update wichtige Seiten und Logins zu testen und zwischengespeicherte Inhalte zu leeren, falls Zweifel bestehen, dass sie an die falschen Personen ausgeliefert wurden.

Wenn sich niemand um Ihre Software kümmert, deckt der Service [Laufender Support und Wartung](https://www.cognivise.co.uk/de/leistungen/support-und-wartung) von Cognivise Updates wie dieses ab.

## Weiterlesen

- [Laufender Support und Wartung](https://www.cognivise.co.uk/de/leistungen/support-und-wartung)
- [Was sollte Software-Support nach dem Launch abdecken?](https://www.cognivise.co.uk/blog/what-application-support-covers)