// HEISE ONLINE — CYBERSECURITY
Zwei kritische Lücken in Next.js – Remote-Code-Ausführung unter Windows
Die zwei kritischen von Vercel gemeldeten Lücken im JavaScript-Framework Next.js ermöglichen es Angreifern, Code auszuführen.
Im August-Update patcht Vercel zwei kritische Lücken in Next.js, die bei der Bildoptimierung im AVIF-Format und unter Windows-Servern auftreten können. Beide eröffnen Angreifern die Möglichkeit, Code auszuführen und damit Daten zu stehlen oder Schaden im System anzurichten.
Die mit 9,8 von 10 Punkten eingestufte AVIF-Lücke stammt aus der von Next.js genutzten Bibliothek libheif. Sie ermöglicht einen Buffer Overflow im Heap aller Anwendungen, die die Methode heif_decode_image() der Bibliothek nutzen.
Die zweite, mit 9 Punkten eingestufte Schwachstelle und der CVE-Nummer CVE-2026-75604 betrifft Next.js-Installationen auf Windows, die Pages- und App-Router ohne Cache-Komponente einsetzen. Für diese Lücke gibt es keinen Workaround und Anwender sollten sofort auf die neuesten Versionen updaten. Betroffen sind Versionen vor 15.5.24 und 16.3.3. Ein Update erfolgt mit:
Die von Vercel gehostete Variante ist laut Hersteller nicht betroffen, da sie keine AVIF-Optimierung anbietet und unter Linux läuft. Vercel hatte im Juli die Updatefrequenz auf ein regelmäßiges, monatliches Format umgestellt.
Agentische KI bringt eine neue Dynamik in die Webentwicklung. Erfahre am 22. Oktober 2026 auf der Online-Konferenz enterJS Agentic, wie du mit Agentic AI moderne JavaScript-/TypeScript-Projekte entwickelst, wie du Kosten vs. Performance abwägst und wobei dir KI wirklich weiterhilft. Frühbuchertickets sind im Online-Ticketshop erhältlich.
montags und donnerstags - alles von heise developer
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.