CVE-2026-64644 in Next.js
Zusammenfassung
von VulDB • 27.07.2026
Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. In den Versionen 15.5.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann die Image Optimization API remote gehostete Bilder optimieren, wenn Next.js selbst gehostet wird und der Standard-Image-Lader verwendet wird (diese Funktion ist standardmäßig nicht aktiviert). Wenn diese Bilder bösartigen Inhalt enthalten, können sie zu einer CPU-Erschöpfung in den /_next/image-Endpunkten führen. Nur config.images.remotePatterns ist betroffen, und zwar ausschließlich die Muster in diesem Array; config.images.unoptimized: true, config.images.loader: 'custom' sowie Vercel sind nicht beeinträchtigt. Dieses Problem wurde in den Versionen 15.5.21 und 16.2.11 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.