CVE-2026-27980mediumCWE-400

CVE-2026-27980: falha de média gravidade em vercel next.js

Next.js: Unbounded next/image disk cache growth can exhaust storage

Publicada em

Seguir esta CVE+ Monitorar next.js+ Monitorar next

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.7%
Em resumo

O Next.js armazena imagens otimizadas em cache no disco sem limite de tamanho, permitindo que um atacante encha o armazenamento do seu servidor solicitando muitas variações diferentes de imagens. Isso pode derrubar sua aplicação e deixar seu site indisponível.

Detalhe técnico

CVE-2026-27980 afeta Next.js versões 10.0.0 a 16.1.6 onde o diretório de cache `/_next/image` cresce ilimitadamente sem controle de limite. Um atacante pode explorar CWE-400 (Consumo Descontrolado de Recursos) criando requisições com parâmetros variados de otimização de imagens para esgotar o espaço em disco, resultando em negação de serviço. A mitigação requer atualização para 16.1.7+ que implementa remoção LRU via `images.maximumDiskCacheSize`, ou limpeza temporária de diretórios de cache e restrição de padrões de geração de variantes.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Next.js is a React framework for building full-stack web applications. Starting in version 10.0.0 and prior to version 16.1.7, the default Next.js image optimization disk cache (`/_next/image`) did not have a configurable upper bound, allowing unbounded cache growth. An attacker could generate many unique image-optimization variants and exhaust disk space, causing denial of service. This is fixed in version 16.1.7 by adding an LRU-backed disk cache with `images.maximumDiskCacheSize`, including eviction of least-recently-used entries when the limit is exceeded. Setting `maximumDiskCacheSize: 0` disables disk caching. If upgrading is not immediately possible, periodically clean `.next/cache/images` and/or reduce variant cardinality (e.g., tighten values for `images.localPatterns`, `images.remotePatterns`, and `images.qualities`).
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Produtos afetados
vercel · next.js
CVEs relacionadas — vercel next.js

No mesmo produto, das mais perigosas para as menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2021-43803HIGHUnexpected server crash in Next.jsEPSS 47.3%CVE-2026-44578HIGHNext.js: Server-side request forgery in applications using WebSocket upgradesEPSS 35.5%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%