Mehrere Sicherheitslücken in React und Next.js offengelegt, sofortiges Patchen empfohlen

• Das React-Team und Vercel haben gleichzeitig 12 Sicherheitslücken offengelegt, die React Server Components und Next.js betreffen, und empfehlen dringend, Anwendungen umgehend zu aktualisieren
• Enthalten sind verschiedene Angriffsvektoren wie Denial of Service (DoS), Middleware-Umgehung, SSRF, XSS und Cache Poisoning; eingestuft in 6 High-, 4 Moderate- und 2 Low-Schwachstellen
• Als Patch-Versionen stehen React 19.0.6/19.1.7/19.2.6 sowie Next.js 15.5.16/16.2.5 bereit; auch React-basierte Server-Frameworks müssen mit aktualisiert werden
• Einige Schwachstellen lassen sich selbst mit Netzwerk-Schutz auf WAF-Ebene nicht blockieren, daher ist ein Patch des Anwendungscodes zwingend erforderlich
• Die Schwachstellen verteilen sich über breite Funktionsbereiche von Next.js wie Server Components, Pages Router und Image Optimization API, wodurch der Wirkungsbereich groß ist

---

Betroffene Pakete und Patch-Versionen

• Für React relevante Patches: react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack — jeweils Update auf 19.0.6, 19.1.7, 19.2.6 erforderlich
• Next.js-Patches: 15.5.16 und 16.2.5
• Bei Nutzung React-basierter Server-Frameworks wie Vinext, OpenNext und TanStack Start muss auch das jeweilige Framework auf die neueste Version aktualisiert werden

High-Schwachstellen (6)

• CVE-2026-23870 / GHSA-8h8q-6873-q5fj — Denial of Service (DoS) in React Server Components
  • Eine Schwachstelle, die sowohl React als auch Next.js betrifft
• GHSA-267c-6grr-h53f — Middleware-Umgehung über die segment-prefetch-Route
• GHSA-mg66-mrh9-m8jx — Denial of Service durch Connection Exhaustion in Cache Components
• GHSA-492v-c6pp-mqqv — Middleware-Umgehung durch dynamische Parameter-Injektion in Routen
  • Lässt sich nicht sicher per WAF-Regel blockieren und kann das Anwendungsverhalten beeinträchtigen
• GHSA-c4j6-fc7j-m34r — SSRF (Server-Side Request Forgery) über WebSocket-Upgrades
  • Lässt sich nicht sicher per WAF-Regel blockieren
• GHSA-36qx-fr4f-26g5 — Middleware-Umgehung in Pages Router i18n

Moderate-Schwachstellen (4)

• GHSA-ffhc-5mcf-pf4q — XSS über CSP-Nonce
• GHSA-gx5p-jg67-6x7h — XSS in beforeInteractive-Skripten
• GHSA-h64f-5h5j-jqjh — Denial of Service in der Image Optimization API
• GHSA-wfc6-r584-vfw7 — Cache Poisoning in RSC-Antworten

Low-Schwachstellen (2)

• GHSA-vfv6-92ff-j949 — Cache Poisoning durch RSC-Cache-Busting-Kollisionen
• GHSA-3g8h-86w9-wvmq — Cache Poisoning bei Middleware-Redirects

Möglichkeit der WAF-Blockierung

• Auf Netzwerkebene per WAF blockierbar sind nur einige DoS-artige Schwachstellen; bestehende Regeln zur Abwehr der bisherigen React-Server-Component-CVE greifen auch für die neuen DoS-Schwachstellen
• Viele High-Schwachstellen wie Middleware-Umgehung, SSRF und XSS lassen sich per WAF nicht sicher blockieren, sodass ein Patch des Anwendungscodes die einzige Gegenmaßnahme ist
• Einige Punkte lassen sich zwar mit benutzerdefinierten WAF-Regeln adressieren, bei Anwendung als globale Managed Rules besteht jedoch das Risiko, das Anwendungsverhalten zu stören

Auswirkungen je Framework-Adapter

• Vinext: Aufgrund einer von Standard-Next.js abweichenden Architektur nicht von den veröffentlichten CVEs betroffen
  • PPR-Resume-Protokoll nicht implementiert, Pages-Router-Data-Route-Endpunkte nicht exponiert, interne Header wie x-nextjs-data werden an der Request-Grenze entfernt
  • Als zusätzliche Absicherung wurde vinext init so geändert, dass React 19.2.6 oder höher erforderlich ist
• OpenNext: Der Adapter selbst ist nicht direkt verwundbar, Nutzer müssen jedoch die Next.js-Version ihrer Anwendung selbst aktualisieren
  • Neue Version zur zusätzlichen Härtung des Adapters bereits veröffentlicht

[fastkoder]

Ich sollte wohl die Sprache wechseln..

[xguru]

Bei Next.js gab es zuletzt auch einige Fälle, in denen auf Servern, die ohne Updates weiter betrieben wurden, Malware eingeschleust wurde, daher sollte man wirklich möglichst schnell aktualisieren.

Im Artikel steht zwar Next.js → 15.5.16 / 16.2.5, aber Stand heute wurde 16.2.6 erneut veröffentlicht, also berücksichtigt das bitte, testet es und spielt das Update ein.

[click]

Es gab ja auch schon einmal einen Cloudflare-Ausfall, als man bei nextjs und RSC einen Ausfall-Patch eingespielt hat: Cloudflare-Ausfall am 5. Dezember 2025
Andere SSR-Frameworks wie nuxt, sveltekit oder solidstart sind zwar auch nicht völlig frei davon, aber nextjs wirkt da schon mit Abstand am löchrigsten.

[savvykang]

Jetzt erfinden sie sogar die OWASP Top 10 neu, beeindruckend. Ist als Nächstes ein spezialisertes Next-Sicherheits-Startup an der Reihe, das dafür Investments einsammelt?

[carnoxen]

Nicht einmal react2shell ist schon eingeschlagen, und jetzt schon wieder ...!

[greekr4]

Es wirkt, als würde es bei Next in letzter Zeit ziemlich häufig krachen.