Next.js: Unbounded next/image disk cache growth can exhaust storage
O Next.js armazena imagens otimizadas em cache no disco sem limite de tamanho, permitindo que um atacante encha o armazenamento do seu servidor solicitando muitas variações diferentes de imagens. Isso pode derrubar sua aplicação e deixar seu site indisponível.
CVE-2026-27980 afeta Next.js versões 10.0.0 a 16.1.6 onde o diretório de cache `/_next/image` cresce ilimitadamente sem controle de limite. Um atacante pode explorar CWE-400 (Consumo Descontrolado de Recursos) criando requisições com parâmetros variados de otimização de imagens para esgotar o espaço em disco, resultando em negação de serviço. A mitigação requer atualização para 16.1.7+ que implementa remoção LRU via `images.maximumDiskCacheSize`, ou limpeza temporária de diretórios de cache e restrição de padrões de geração de variantes.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →