一、漏洞详情
Next.js是Vercel开发的一款基于React的开源全栈Web开发框架。
近日，监测到Next.js远程代码执行漏洞（CVE-2026-75604），由于Next.js增量静态再生成（ISR）与App路由增量缓存的文件系统缓存路径未对反斜杠进行转义处理，在Windows文件系统上可触发路径穿越，泄露Server Action加密密钥（encryptionKey），攻击者利用该密钥伪造Server Action绑定参数实现未认证远程代码执行。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
13.4.0 <= Next.js < 15.5.24
16.0 <= Next.js < 16.3.3
三、修复建议
官方已发布安全补丁，请及时更新至安全版本。
Next.js >= 15.5.24
Next.js >= 16.3.3
