요약
우리는 Denial of service, middleware 와 proxy bypass, server-side request forgery, cache poisoning, 그리고 cross-site scripting 을 다루는 13 개의 보안 패치를 포함하는 Next.js 의 통합 보안 릴리스를 배포했습니다.
하나의 패치는 . CVE-2026-23870 으로 추적되는 React Server Components 취약점을 다룹니다. React 와 Next.js 모두에 수정된 버전이 제공되며, 모두 즉시 업그레이드해야 합니다.
영향받는 사용자
다음과 같은 보안 패치들이 적용됩니다:
- middleware.js: 인증 및 권한 부여를 의존하는 애플리케이션을 대상으로 합니다.
- proxy.js: Server Functions, Cache Components 와 Partial Prerendering 을 사용하는 애플리케이션을 대상으로 하며, Image Optimization API 를 사용하는 애플리케이션도 영향을 받습니다. WebSocket upgrade 요청을 처리하는 애플리케이션도 영향을 받습니다. React Server Component 응답 앞에 캐싱 레이어가 있는 애플리케이션도 영향을 받습니다. App Router 에서 CSP nonces 를 사용하거나, 신뢰할 수 없는 입력을 소비하는 스크립트를 사용하는 애플리케이션도 영향을 받습니다.
beforeInteractive
이 취약점들은 React 와 Next.js 의 수정된 릴리스로 해결됩니다. 패칭은 유일한 완전한 완화 방법이며, 모두 즉시 업그레이드해야 합니다.
영향받는 사용자
Vercel 은 이 릴리스에 새로운 WAF 규칙을 배포하지 않았습니다. 따라서 WAF 레이어에서 신뢰할 수 있게 차단할 수 없습니다. 프레임워크 및 버들러는 해당 유지보수자가 제공하는 최신 버전을 설치해야 합니다.
react-server-dom-*
더 읽기
권장 행동
- Middleware 와 proxy bypass: Denial of service, Server-side request forgery, Cache poisoning, Cross-site scripting
영향
해결 방법
영향받는 버전
수정됨
참조
: High
Auth bypass via App Router segment-prefetch URL
: High
App Router segment-prefetch bypass, incomplete fix follow-up
: High
Pages Router i18n default-locale path bypasses proxy authorization
: High
Bypass via dynamic route parameter injection
: Low
Middleware redirects can be cache-poisoned
: (tracked upstream as )
High
DoS in React Server Components
CVE-2026-23870
: High
DoS via connection exhaustion in applications using Cache Components
: Moderate
DoS via the Image Optimization API
: High
SSRF in applications using WebSocket upgrades
: Moderate
Cache poisoning in React Server Component responses
: Low
Cache poisoning via collisions in RSC cache-busting
: Moderate
XSS in App Router applications using CSP nonces
: Moderate
XSS in beforeInteractive scripts with untrusted input
: , Next.js 15.5.18, 16.2.6
: , , for the , and packages
React 19.0.6, 19.1.7, 19.2.6
react-server-dom-parcel, react-server-dom-webpack, react-server
-dom-turbopack Upstream React advisory (CVE-2026-23870) Package Affected Upgrade to , Next.js 13.x 14.x all versions or 15.5.18 16.2.6 Next.js 15.x <=15.5.17 15.5.18 Next.js 16.x <=16.2.5 16.2.6 react-server-dom-* 19.0.x <=19.0.5 19.0.6 react-server-dom-* 19.1.x <=19.1.6 19.1.7 react-server-dom-* 19.2.x <=19.2.5 19.2.6