CVE-2026-64644 in Next.js
Résumé
par VulDB • 27/07/2026
Next.js est un framework React pour la création d'applications web full-stack. Dans les versions 15.5.0 à 15.5.20 et 16.0.0 à 16.2.10, lors de l'hébergement autonome (self-hosting) de Next.js avec le chargeur d'images par défaut, l'API Image Optimization peut optimiser les images hébergées à distance si elle est configurée (elle n'est pas activée par défaut). Si ces images contiennent du contenu malveillant, elles peuvent provoquer une épuisement des ressources CPU sur les points de terminaison /_next/image. Seul le paramètre config.images.remotePatterns est concerné, et uniquement les motifs figurant dans ce tableau ; en revanche, la configuration config.images.unoptimized: true, config.images.loader: 'custom' ainsi que Vercel ne sont pas impactés. Ce problème a été corrigé dans les versions 15.5.21 et 16.2.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.