Deux brèches béantes dans le framework le plus populaire de l’écosystème React, et pas un mot de passe pour les exploiter. Vercel a publié le 25 août 2026 des correctifs pour deux vulnérabilités permettant une exécution de code à distance sans authentification dans Next.js, l’une nichée dans le traitement des images AVIF, l’autre dans la gestion des chemins de fichiers sous Windows.
La première faille porte un score CVSS de 9,5 et vit dans les entrailles de libheif, cette bibliothèque C que sharp utilise pour décoder les fichiers AVIF. Un dépassement de tampon dans le tas, provoqué par un fichier image piégé contenant des références imbriquées de dérivation d’identité et d’éléments auxiliaires. Le mécanisme est vicieux. Libheif construit une image décodée avec deux entrées de plan Alpha à des profondeurs de bits différentes, alloue un buffer dimensionné pour l’entrée 8 bits… puis y écrit des valeurs 16 bits issues de la seconde entrée. Résultat, environ 16 384 octets écrits au-delà de la frontière d’allocation. Les chercheurs rootxharsh et KarimPwnz, crédités par l’équipe Hacktron, ont publié un proof-of-concept Python reproduisant la corruption mémoire. « Nous avons pu obtenir une exécution de code à distance grâce à cette faille sur plusieurs applications », ont-ils déclaré dans l’avis de sécurité de libheif, une affirmation qui n’a toutefois pas été corroborée de manière indépendante.
Toutes les versions de libheif jusqu’à la v1.23.1 sont touchées, et le correctif upstream v1.23.2 n’avait toujours pas été publié à ce jour. Vercel a donc tranché dans le vif en désactivant purement l’optimisation AVIF dans les versions corrigées, en attendant que la bibliothèque amont soit patchée. Seuls les déploiements ayant explicitement ajouté image/avif dans la configuration formats de next.config.js sont exposés.
La seconde vulnérabilité, référencée CVE-2026-75604 avec un score CVSS de 9,0, frappe les serveurs Next.js hébergés sous Windows qui utilisent conjointement le Pages Router et l’App Router sans Cache Components. Une traversée de chemin qui ouvre la porte à l’exécution de code arbitraire. Linux et macOS ne sont pas concernés. Les déploiements Windows, eux, n’ont aucun contournement possible. « Vous devez mettre à jour immédiatement si votre serveur est hébergé sous Windows », martèle Vercel dans son avis de sécurité. Les chercheurs evolutionstorm et B0RI sont crédités de cette découverte.
A lire également
Les correctifs sont disponibles dans Next.js 15.5.24 (Maintenance LTS) et 16.3.3 (Active LTS), et couvrent un spectre large de versions vulnérables allant de la 13.4 à la 15.5.23 et de la 16.0 à la 16.3.2 pour la faille Windows, tandis que la faille AVIF remonte jusqu’à la 10.0.0. Les applications hébergées directement sur la plateforme Vercel ne sont affectées par aucune des deux vulnérabilités, le service tournant sous Linux et ne proposant pas l’optimisation AVIF selon l’éditeur.
Vercel avait initialement programmé cette livraison au 26 août dans le cadre de sa cadence mensuelle de sécurité, lancée en juillet 2026. La publication a été avancée d’un jour après la découverte d’une vulnérabilité supplémentaire dans une dépendance amont. « Plus tôt aujourd’hui, nous avons avancé la publication après avoir identifié une vulnérabilité critique supplémentaire dans l’une de nos dépendances amont », ont écrit Josh Story, Karim Rahal et Sebastian Silbermann sur le blog sécurité de Vercel. Ce programme mensuel n’en est qu’à sa deuxième itération, la première ayant déjà corrigé neuf failles le 21 juillet, couvrant des dénis de service, des falsifications de requêtes côté serveur et des contournements de middleware.
Le framework accumule désormais les cicatrices de sécurité à un rythme qui interroge sur la surface d’attaque réelle des applications full-stack JavaScript. Le contournement de middleware de mars 2025 permettait de sauter les contrôles d’autorisation sur les déploiements auto-hébergés. La faille de désérialisation React2Shell de décembre 2025, avec son score CVSS de 10,0, avait été activement exploitée quelques heures après sa divulgation publique. « Le volume de recherche en vulnérabilités à travers l’industrie augmente rapidement, porté par la découverte assistée par l’IA », reconnaissaient Andrew Imm et Josh Story dans l’annonce du programme de sécurité mensuel en juillet.
Aucune exploitation des deux failles d’août n’a été rapportée au 27 août 2026. Mais chaque mois apporte son lot de preuves que la complexité empilée des frameworks modernes fabrique mécaniquement des vecteurs d’attaque (à l’image de cette faille critique qui permettait de prendre le contrôle total d’un site WordPress sans authentification), et que la découverte assistée par IA ne fait qu’accélérer la cadence.
