Next.js 在 2026 年 11 月 3 日正式發布 11 月安全更新，提供 16.4.5 與 15.5.29。這次七項問題集中在快取隔離、自架站的回應處理、Edge 路由 Cookie 與圖片最佳化。網站若有多租戶、會員資料或自架反向代理，應交由維護者核對功能與部署版本，再安排更新。
先選對升級支線
| 使用支線 | 本批安全更新目標 |
|---|---|
| 15.5 維護支線 | 15.5.29 |
| 16 主支線 | 16.4.5 |
表格是整批更新的目標，不表示每個舊版都受七項問題影響。各公告有不同的版本與配置條件；較舊支線應先評估升到仍受支援的版本。更新專案依賴與鎖檔後，還要重新建置、部署所有實例，核對實際運行版本。
租戶快取要看函數如何組合
官方發布文將一項跨租戶快取洩漏列為 High：啟用 Cache Components，同一個公開 use cache 函數既被直接呼叫，又從 unstable_cache 內呼叫，且讀取租戶等 root parameter。程序冷啟動的首次填入若遇到並行請求，結果可能跨租戶重用，並留在快取直到重新驗證或移除。
同批還包括巢狀快取遺漏 root parameter 相依性，以及二進位參數產生相同快取身分的問題。這些都需要相應的程式寫法；不能只因使用 Next.js，就認定會員資料已外洩。更新後可在自有測試環境，用不同租戶及帳戶核對輸出是否隔離。
自架代理、Edge 與圖片各有條件
自架 next start 的共用頁面殼快取問題，涉及 Cache Components、未啟用 Partial Prefetching，以及特定動態路由與 Suspense 組合。另一項回應錯配則需要把外部取得的 Response 原樣轉送，並遇到會在共用後端連線排隊處理 pipelined 請求的 HTTP/1.1 代理；不是所有反向代理都符合條件。
Edge 路由若用 NextResponse.cookies.set() 設定敏感 Cookie，內部回應標頭可能讓同來源 JavaScript 讀到 HttpOnly 值。它不會自行產生 JavaScript 執行能力，仍需攻擊者已能在同來源執行程式。官方重現亦未涵蓋 Node.js Route Handlers 或 cookies().set() 路徑。
圖片問題會讓允許來源的特製影像繞過 SVG 拒絕設定，仍需後端具備 SVG 解碼能力；來源允許清單並未失效，公告也沒有將此項證明為 XSS 或遠端程式碼執行。
維護者應依使用功能閱讀對應公告，確認部署後的版本、跨帳戶快取與正常登入流程。版本更新完成，不等於已判定過去沒有資料洩漏；有異常紀錄時，保留紀錄再調查。
資料核對日期：2026 年 11 月 4 日。依 11 月 3 日正式更新整理；封面為 AI 生成的概念插畫。
