CVE-2026-64644 in Next.js
Riassunto
di VulDB • 27/07/2026
Next.js è un framework React per la creazione di applicazioni web full-stack. Nelle versioni dalla 15.5.0 alla 15.5.20 e dalla 16.0.0 alla 16.2.10, quando si ospita autonomamente Next.js con il caricatore di immagini predefinito (default image loader), l'API Image Optimization può ottimizzare le immagini hostate in remoto se configurata per farlo (non abilitata di default). Se tali immagini contengono contenuti dannosi, possono causare esaurimento delle risorse CPU negli endpoint /_next/image. È interessato solo il parametro config.images.remotePatterns e precisamente i pattern presenti in tale array; invece, config.images.unoptimized: true, config.images.loader: 'custom' e Vercel non sono interessati. Il problema è stato risolto nelle versioni 15.5.21 e 16.2.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.