关于Next.js远程代码执行漏洞（CVE-2026-75604）的预警提示

一、漏洞详情

Next.js是Vercel开发的一款基于React的开源全栈Web开发框架。

近日，监测到Next.js远程代码执行漏洞（CVE-2026-75604），由于Next.js增量静态再生成（ISR）与App路由增量缓存的文件系统缓存路径未对反斜杠进行转义处理，在Windows文件系统上可触发路径穿越，泄露Server Action加密密钥（encryptionKey），攻击者利用该密钥伪造Server Action绑定参数实现未认证远程代码执行。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

13.4.0 <= Next.js < 15.5.24

16.0 <= Next.js < 16.3.3

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

Next.js >= 15.5.24

Next.js >= 16.3.3