2026-08-22
Next.js e React têm muitas vulnerabilidades? O que os dados de CVE realmente mostram
Os dados dizem que o núcleo do React quase não tem CVEs, enquanto os CVEs do Next.js são numerosos e estão aumentando. O que importa é onde eles ficam: em middleware, cache, otimização de imagens e Server Actions, com SSRF, desserialização e contorno de autorização no topo dos CWEs. A conclusão deste site: o Next.js não deve ser tratado só como um framework de front-end. Ele roda como servidor, então defenda-o como tal: autorize de novo junto aos dados, use allow-list para requisições de saída e coloque os endpoints de Server Actions atrás de autenticação.