Next.js May 2026 security release

요약

우리는 Denial of service, middleware 와 proxy bypass, server-side request forgery, cache poisoning, 그리고 cross-site scripting 을 다루는 13 개의 보안 패치를 포함하는 Next.js 의 통합 보안 릴리스를 배포했습니다.

하나의 패치는 . CVE-2026-23870 으로 추적되는 React Server Components 취약점을 다룹니다. React 와 Next.js 모두에 수정된 버전이 제공되며, 모두 즉시 업그레이드해야 합니다.

영향받는 사용자

다음과 같은 보안 패치들이 적용됩니다:

• middleware.js: 인증 및 권한 부여를 의존하는 애플리케이션을 대상으로 합니다.
• proxy.js: Server Functions, Cache Components 와 Partial Prerendering 을 사용하는 애플리케이션을 대상으로 하며, Image Optimization API 를 사용하는 애플리케이션도 영향을 받습니다. WebSocket upgrade 요청을 처리하는 애플리케이션도 영향을 받습니다. React Server Component 응답 앞에 캐싱 레이어가 있는 애플리케이션도 영향을 받습니다. App Router 에서 CSP nonces 를 사용하거나, 신뢰할 수 없는 입력을 소비하는 스크립트를 사용하는 애플리케이션도 영향을 받습니다.

beforeInteractive

이 취약점들은 React 와 Next.js 의 수정된 릴리스로 해결됩니다. 패칭은 유일한 완전한 완화 방법이며, 모두 즉시 업그레이드해야 합니다.

영향받는 사용자

Vercel 은 이 릴리스에 새로운 WAF 규칙을 배포하지 않았습니다. 따라서 WAF 레이어에서 신뢰할 수 있게 차단할 수 없습니다. 프레임워크 및 버들러는 해당 유지보수자가 제공하는 최신 버전을 설치해야 합니다.

react-server-dom-*

더 읽기

권장 행동

• Middleware 와 proxy bypass: Denial of service, Server-side request forgery, Cache poisoning, Cross-site scripting

영향

해결 방법

영향받는 버전

수정됨

참조

: High
Auth bypass via App Router segment-prefetch URL

: High
App Router segment-prefetch bypass, incomplete fix follow-up

: High
Pages Router i18n default-locale path bypasses proxy authorization

: High
Bypass via dynamic route parameter injection

: Low
Middleware redirects can be cache-poisoned

: (tracked upstream as )

High
DoS in React Server Components

CVE-2026-23870

: High
DoS via connection exhaustion in applications using Cache Components

: Moderate
DoS via the Image Optimization API

: High
SSRF in applications using WebSocket upgrades

: Moderate
Cache poisoning in React Server Component responses

: Low
Cache poisoning via collisions in RSC cache-busting

: Moderate
XSS in App Router applications using CSP nonces

: Moderate
XSS in beforeInteractive scripts with untrusted input

: , Next.js 15.5.18, 16.2.6

: , , for the , and packages

React 19.0.6, 19.1.7, 19.2.6
react-server-dom-parcel, react-server-dom-webpack, react-server

-dom-turbopack Upstream React advisory (CVE-2026-23870) Package Affected Upgrade to , Next.js 13.x 14.x all versions or 15.5.18 16.2.6 Next.js 15.x <=15.5.17 15.5.18 Next.js 16.x <=16.2.5 16.2.6 react-server-dom-* 19.0.x <=19.0.5 19.0.6 react-server-dom-* 19.1.x <=19.1.6 19.1.7 react-server-dom-* 19.2.x <=19.2.5 19.2.6