Vercel hat am 7. Mai 2026 ein umfangreiches Sicherheits-Release für Next.js veröffentlicht, das insgesamt 13 Schwachstellen-Advisories abdeckt. Die Kategorien reichen von Denial of Service über Middleware- und Proxy-Bypässe, Server-Side Request Forgery (SSRF) und Cache Poisoning bis hin zu Cross-Site Scripting (XSS). Besonders schwerwiegend ist eine vorgelagerte React-Server-Components-Schwachstelle, die als CVE-2026-23870 verfolgt wird und als „High" eingestuft ist. Betroffen sind unter anderem Anwendungen, die middleware.js oder proxy.js für Autorisierung nutzen, sowie Anwendungen mit Server Functions, Partial Prerendering, Image Optimization API, WebSocket-Upgrades oder CSP-Nonces im App Router. Gepatchte Versionen stehen für Next.js (15.5.18 und 16.2.6) sowie für React-Pakete (react-server-dom-parcel, react-server-dom-webpack, react-server-dom-turbopack) in den Versionen 19.0.6, 19.1.7 und 19.2.6 bereit. Next.js 13.x und 14.x erhalten keine Sicherheits-Patches mehr – Nutzer dieser Versionen müssen auf eine gepatchte Version migrieren. Vercel weist explizit darauf hin, dass keine neuen WAF-Regeln ausgerollt werden, da die Advisories auf WAF-Ebene nicht zuverlässig geblockt werden können.