# Next.js corrige sept failles de sécurité dans les versions 16.4.5 et 15.5.29

Le 3 novembre 2026, l’équipe Next.js a publié les versions 16.4.5 et 15.5.29, qui corrigent sept vulnérabilités de sécurité. Dans certaines configurations, plusieurs d’entre elles pouvaient montrer à un client ou à un utilisateur un contenu destiné à quelqu’un d’autre.

- Page: https://www.cognivise.co.uk/fr/news/mise-a-jour-securite-next-js
- Original (anglais): https://www.cognivise.co.uk/news/next-js-security-release-update-16-4-5-15-5-29
- Sujet: Faire vivre un logiciel
- Publié: 2026-11-05
- Mis à jour: 2026-11-05
- Auteur: Cognivise
- Source: Next.js, November 2026 Security Release (https://nextjs.org/blog/november-2026-security-release)

## À retenir

- Next.js a publié les versions 16.4.5 et 15.5.29 le 3 novembre 2026 pour corriger sept vulnérabilités, dont une de gravité élevée.
- Les problèmes les plus graves pouvaient, dans certaines configurations de mise en cache, montrer le contenu d’un locataire ou d’un utilisateur à un autre.
- Les entreprises dont le site ou l’application repose sur Next.js doivent demander à leurs développeurs de confirmer la version et d’appliquer rapidement la mise à jour.

## Ce que Next.js a corrigé le 3 novembre

Le 3 novembre 2026, l’équipe Next.js a publié une mise à jour de sécurité sur le [blog de Next.js](https://nextjs.org/blog/november-2026-security-release), après l’avoir annoncée la semaine précédente. Elle corrige sept vulnérabilités : une de gravité élevée et six de gravité moyenne. Les correctifs figurent dans la version 16.4.5, branche Active LTS (support à long terme), et dans la 15.5.29, branche Maintenance LTS. L’équipe demande à tous les utilisateurs de Next.js de mettre à jour.

Quatre de ces problèmes, dont celui de gravité élevée, concernent la fonction de mise en cache de Next.js, Cache Components, qui stocke des pages et des données pour pouvoir les réutiliser :

- dans trois cas, un contenu préparé pour un locataire, un site, une langue ou un utilisateur pouvait être servi à un autre ;
- dans le quatrième, sur les sites auto-hébergés, une adresse web forgée pouvait amener des pages partagées à afficher le mauvais contenu ou à renvoyer sans cesse des erreurs « page introuvable ».

Les trois autres portent sur une configuration particulière de reverse proxy sur des sites auto-hébergés, qui pouvait envoyer la réponse destinée à un visiteur à un autre ; sur les routes Edge, où des valeurs de cookies censées être cachées aux scripts pouvaient être lues par du JavaScript du même site ; et sur l’optimisation des images, où un fichier SVG déguisé pouvait contourner un paramètre censé bloquer les SVG.

## Quels sites et applications sont exposés

Vous êtes concerné si votre site web, votre boutique en ligne, votre portail client ou votre application web repose sur Next.js. Le risque le plus important touche les systèmes qui servent plusieurs clients, marques, sites ou langues à partir d’une seule application et qui utilisent Cache Components. Une fuite pourrait alors montrer les données d’un client à un autre, ce qui pose un problème de confidentialité et de protection des données, et pas seulement un problème technique.

La plupart de ces problèmes ne se présentent que dans des conditions précises : Cache Components activé, auto-hébergement plutôt qu’une plateforme gérée, routes Edge qui définissent des cookies d’une certaine manière, ou back-end d’images capable de décoder des fichiers SVG. La source en limite aussi la portée pour certains. Le problème des cookies suppose qu’un script malveillant tourne déjà sur votre site, et celui des images ne permet pas, à lui seul, à un attaquant d’exécuter du code.

Si votre logiciel n’utilise pas Next.js, rien de tout cela ne vous concerne.

## Ce qu’il faut demander à vos développeurs dès maintenant

La source ne fixe aucune échéance, mais il vaut mieux appliquer rapidement ce type de correctif de sécurité. Demandez à la personne qui assure la maintenance de votre site ou de votre application de :

- confirmer s’il utilise Next.js, et dans quelle version ;
- passer à la 16.4.5 ou à la 15.5.29, selon la branche utilisée ;
- si vous êtes sur une version plus ancienne, vous expliquer comment migrer, puisque la mise à jour ne cite que ces deux branches ;
- vérifier si vous utilisez Cache Components, l’auto-hébergement, les routes Edge ou l’optimisation des images, car ces éléments déterminent l’urgence de la mise à jour ;
- tester les pages clés et les connexions après la mise à jour, et vider le contenu en cache au moindre doute sur sa diffusion à de mauvais destinataires.

Si personne ne s’occupe de votre logiciel, le service [Support et maintenance continus](https://www.cognivise.co.uk/fr/services/support-et-maintenance) de Cognivise couvre ce type de mise à jour.

## À lire aussi

- [Support et maintenance continus](https://www.cognivise.co.uk/fr/services/support-et-maintenance)
- [Que doit couvrir le support d’un logiciel après son lancement ?](https://www.cognivise.co.uk/fr/blog/maintenance-applicative-support)