CVE-2026-96889: критическая RCE в оптимизации изображений Next.js

Vercel выпустила внеплановые патчи Next.js 16.4.1 и 15.5.28, закрывающие CVE-2026-96889 — use-after-free в librsvg через Image Optimization API, приводящий к удалённому выполнению кода без аутентификации. Уязвимы все версии с 10.0.0 по 15.5.27 и с 16.0.0 по 16.4.0; CVSS 9.5.

• CVSS 9.5: RCE без логина и взаимодействия пользователя
• Уязвимы Next.js 10.0.0–15.5.27 и 16.0.0–16.4.0
• Исправлено в 15.5.28 и 16.4.1 через sharp 0.35.5
• Третья RCE в обработке изображений Next.js с августа