Next.js: Server-Side Request Forgery in Image Optimization
Zusammenfassung
Die Bildoptimierung von Next.js in den Versionen 16.0.0 bis 16.3.7 kann dazu gebracht werden, ein entferntes Bild von einer privaten IP-Adresse abzurufen. Ein Angreifer, der das DNS für einen Host auf der Allow-List von images.remotePatterns kontrolliert, kann den Server veranlassen, interne Ressourcen anzufragen, nachdem die URL die Prüfung bestanden hat. Anwendungen ohne images.remotePatterns sind nicht betroffen.
Betroffen
- Next.js (npm-Paket next) ab 16.0.0 vor 16.3.8
- Anwendungen, die images.remotePatterns konfigurieren
- Next.js 15.x ist von dieser CVE nicht betroffen
Behoben in
- Upgrade auf Next.js 16.3.8 oder neuer (veröffentlicht am 30.09.2026)
Umgehung
- Hosts in images.remotePatterns prüfen und Einträge entfernen, deren DNS-Einträge nicht vertrauenswürdig sind
- Ohne konfigurierte images.remotePatterns ist die Anwendung nicht betroffen
- Eine andere vom Hersteller dokumentierte Massnahme ist nicht bekannt; das Upgrade ist die vollständige Behebung
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt
- In der CISA-SSVC-Bewertung als nicht automatisierbar eingestuft (Automatable: no)
- Öffentlicher Proof of Concept: unbekannt; gegen CISA KEV und Exploit-Datenbanken prüfen
Unsere Empfehlung
- Prüfen, ob Next.js-16.x-Anwendungen im Einsatz sind und ob images.remotePatterns konfiguriert ist
- Auf Next.js 16.3.8 oder neuer aktualisieren
- Falls kein Upgrade möglich ist, Remote-Patterns für nicht vertrauenswürdige Hosts entfernen
- Prüfen, welche internen Dienste der Anwendungsserver erreichen kann, und ausgehende Zugriffe des Webservers wo möglich einschränken
- Logs auf ungewöhnliche Anfragen an die Bildoptimierung überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cjq9-62q9-8jv4 github.com
- Next.js Release v16.3.8 github.com
- Fix commit e002ad6 github.com
- Next.js September 2026 security release nextjs.org
- OSV GHSA-cjq9-62q9-8jv4 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.