摘要：Next.js 官方宣布于 2026 年 11 月 3 日发布计划内的安全更新，将修复框架中 7 个中危（Medium）漏洞，官方建议在补丁版本发布后尽快升级。
更新要点
- 计划于 2026 年 11 月 3 日（周二）发布，修复 7 个中危漏洞（来源：nextjs.org/blog）
- 完整公告、受影响版本与升级步骤随发布一并公开
- 官方建议发布后尽快升级到修复版本
主要改动与修复
这是 Next.js 的例行安全更新。官方在 10 月 27 日的预告中说明，本次将修复 7 个中危漏洞，具体公告（含影响范围、受影响版本与升级指引）在 11 月 3 日随补丁版本一同发布。值得一提的是，此前的 10 月 14 日安全更新已修复了 use cache 函数返回 TypedArray、Image Optimization 处理 SVG 等两个高危 RCE 漏洞及一个 Server Actions 拒绝服务问题。官方提醒使用 Next.js 的项目应关注公告并保持版本在受支持范围内（16.x / 15.x），14.x 已不再受支持。
适用人群
- 使用 Next.js 15.x / 16.x 构建网站或应用的开发者与团队
- 需要评估并安排安全升级的运维与安全负责人
- 所有关心前端框架供应链安全的工程团队
下载与安装提示
- 官方公告：https://nextjs.org/blog/upcoming-nextjs-security-release-november-2026
- 升级命令：npm install next@latest（或按公告指定的修复版本锁定）
- 升级后提交 lockfile 变更并重新部署，确保构建安装新版本
数据来源：Next.js 官方博客（nextjs.org/blog），检索时间 2026 年 11 月 3 日。