Уязвимость
CVE-2026-96889 в Next.js касается 4% сайтов Топ-10 000 с известным стеком
Затронуты сайты, у которых фреймворк — Next.js.
стек известен у 7 156 сайтов · доли — от них · 26 октября, 17:16 мск
- Уязвимости
- CVE-2026-96889GHSA-2464-fhr4-w9xw
- Оценка
- 9,5 из 10
- Опубликована
- Чем грозит
- Чужой код выполняется на сервере без входа на сайт.
- Затронуто
Next.js- Исправления Next.js
- Закрывает
- Next.js 16.4.1, 15.5.28 и новее
Топ-10014%
Топ-10009%
Топ-10 0004%
Какая версия Next.js закрывает уязвимость
| Ветка | Уязвима | Закрыта |
|---|---|---|
| 16.4 | ниже 16.4.1 | Есть выпуск с 16.4.1 |
| 15.5 | ниже 15.5.28 | Есть выпуск с 15.5.28 |
| 14, 13, 12, 11, 10 | все выпуски Next.js | Нет выпуска исправления не будет — переход на ветку с исправлением |
Сайты на Next.js сейчас
Next.js →Работают
0%обычно 0,4%–1,2%
Хроника
- Опубликованы CVE-2026-96889 и GHSA-2464-fhr4-w9xw, оценка 9,5 из 10
- Вышли исправления Next.js
Что сделать владельцу сайта
Её называет package.json проекта или команда в папке проекта.
Команда на сервереnpx next --version16.4.1 или 15.5.28. Номер — в package.json, затем установка пакетов.
Команда на сервереnpm installДо перезапуска работает старая сборка.
Команда на сервереnpm run buildСайт работал на уязвимой версии — пароли к базе, ключи API и сессии пользователей могли утечь.