Next.js corregge sette falle di sicurezza nelle versioni 16.4.5 e 15.5.29

Che cosa ha corretto Next.js il 3 novembre

Il 3 novembre 2026 il team di Next.js ha pubblicato un rilascio di sicurezza sul blog di Next.js, dopo averlo preannunciato la settimana precedente. Corregge sette vulnerabilità: una di gravità alta e sei di gravità media. Le correzioni sono nella versione 16.4.5, la linea Active LTS (supporto a lungo termine), e nella 15.5.29, la linea Maintenance LTS. Il team chiede a chiunque usi Next.js di aggiornare.

Quattro dei problemi, compreso quello di gravità alta, riguardano la funzione di caching di Next.js, Cache Components, che memorizza pagine e dati per poterli riutilizzare:

• in tre casi, contenuti preparati per un tenant, un sito, una lingua o un utente potevano essere serviti a un altro;
• nel quarto, sui siti in self-hosting, un indirizzo web costruito ad arte poteva far mostrare alle pagine condivise il contenuto sbagliato o farle continuare a restituire errori «pagina non trovata».

Gli altri tre riguardano una particolare configurazione di reverse proxy sui siti in self-hosting, che poteva inviare la risposta destinata a un visitatore a un altro; le route Edge, dove valori dei cookie che dovevano restare nascosti agli script potevano essere letti da JavaScript sullo stesso sito; e l’ottimizzazione delle immagini, dove un file SVG camuffato poteva aggirare un’impostazione pensata per bloccare gli SVG.

Quali siti e app sono esposti

Ti riguarda se il tuo sito web, il tuo negozio online, il tuo portale clienti o la tua applicazione web è basato su Next.js. Il rischio maggiore è per i sistemi che servono più clienti, marchi, siti o lingue da un’unica applicazione e usano Cache Components. In quel caso, una fuga di dati potrebbe mostrare i dati di un cliente a un altro: un problema di riservatezza e di protezione dei dati, oltre che tecnico.

La maggior parte dei problemi si presenta solo in condizioni specifiche: Cache Components attivo, self-hosting anziché una piattaforma gestita, route Edge che impostano i cookie in un certo modo, oppure un backend per le immagini in grado di decodificare i file SVG. La fonte ne limita anche alcuni. Il problema dei cookie richiede che uno script dell’attaccante sia già in esecuzione sul tuo sito, e il problema delle immagini, da solo, non permette a un attaccante di eseguire codice.

Se il tuo software non usa Next.js, nulla di tutto questo ti riguarda.

Che cosa chiedere subito ai tuoi sviluppatori

La fonte non fissa una scadenza, ma è meglio applicare senza indugio correzioni di sicurezza come queste. Chiedi a chi gestisce il tuo sito o la tua app di:

• confermare se usa Next.js e quale versione;
• aggiornare alla 16.4.5 o alla 15.5.29, a seconda della linea in uso;
• se usi una versione precedente, spiegare il percorso di aggiornamento, dato che il rilascio cita solo queste due linee;
• verificare se usi Cache Components, self-hosting, route Edge o l’ottimizzazione delle immagini, perché sono questi elementi a stabilire quanto è urgente l’aggiornamento;
• testare le pagine principali e gli accessi dopo l’aggiornamento, e svuotare la cache se c’è il dubbio che dei contenuti siano stati serviti alle persone sbagliate.

Se nessuno si occupa del tuo software, il servizio di assistenza e manutenzione continuativa di Cognivise copre aggiornamenti come questo.