---
title: "Django e Next.js corrigem falhas de segurança"
author: "Ignácio Afonso"
date: "2026-11-04 06:10:28.953-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/11/04/django-e-nextjs-corrigem-falhas-de-seguranca/md"
---

## Resumo
- Next.js corrigiu sete vulnerabilidades nas versões 16.4.5 e 15.5.29.
- A falha mais grave do Next.js envolve divulgação de cache entre locatários ao combinar unstable_cache e use cache.
- As seis falhas médias do Next.js afetam recursos de cache, Edge, self-hosting, cookies e otimização de SVG.
- Django liberou as versões 6.1.3, 6.0.10 e 5.2.19 com seis correções de segurança.
- Entre os problemas do Django estão exaustão de memória no MultiPartParser e injeção de log em campos de geometria.
- O Django também corrigiu falhas de SSRF, exposição de dados via cabeçalhos Vary e divulgação de hashes de senha.
- As equipes devem conferir a linha de suporte usada, atualizar as dependências e observar a recomendação do GDAL 3.9 para SpatialReference.

---

Em **3 de novembro de 2026**, **Django** e **Next.js** publicaram correções de segurança para equipes responsáveis por aplicações web. O alerta é prático: quem mantém esses frameworks precisa revisar dependências e atualizar versões afetadas, pois os pacotes corrigem problemas que vão de exposição indevida de cache a falsificação de solicitação no servidor. Até o patch tem rotina: chega para consertar o que ninguém queria encontrar. A piada é ruim, eu sei.

## Onde o Next.js encontrou o problema

Na atualização do **Next.js**, as versões **16.4.5**, na linha LTS de suporte ativo, e **15.5.29**, na linha LTS de manutenção, corrigem sete vulnerabilidades. A falha de maior severidade, identificada como **GHSA-mfr8-8qww-v76**, envolve divulgação de cache entre locatários, ou clientes separados, quando unstable_cache e use cache são combinados. A [nota oficial do Next.js](https://nextjs.org/blog/november-2026-security-release) detalha o pacote.

As outras **seis falhas** receberam severidade média. Elas atingem recursos de cache e execução Edge, além de injeção de resposta em ambientes self-hosting, exposição de cookies em rotas Edge e bypass da rejeição de SVG na otimização de imagens. Para a equipe, a diferença entre corrigir um framework e corrigir uma aplicação está em confirmar qual recurso realmente é usado antes do deploy.

## O pacote do Django chega por três linhas

No mesmo dia, o **Django** liberou as versões **6.1.3**, **6.0.10** e **5.2.19**. O conjunto corrige **seis vulnerabilidades**: cinco de baixa severidade e uma moderada. As notas oficiais também registram correções de bugs sem relação direta com segurança. A [documentação de lançamento](https://docs.djangoproject.com/en/6.1/releases/6.1.3/) é a referência para identificar a linha compatível.

No detalhe técnico, uma falha causa exaustão de memória no **MultiPartParser** durante uploads codificados em base64, enquanto outra permite injeção de log em campos de geometria. São problemas que ficam nos bastidores de processamento e registros, mas entram na mesma atualização que as equipes precisam aplicar.

Também foram corrigidas falhas de falsificação de solicitação do lado do servidor, ou SSRF, em **GeoJSON** e **SpatialReference**. O pacote ainda trata exposição de dados privados via cabeçalhos Vary e divulgação de hash de senha para usuários view only. Para proteção total contra SSRF via SpatialReference, a documentação recomenda **GDAL 3.9** ou superior.

## O que as equipes devem conferir agora

Para o Next.js, a atualização precisa seguir o ramo em uso: **16.4.5** corrige as sete falhas, enquanto **15.5.29** concentra as correções de injeção de resposta, cookies em Edge e SVG. No Django, a equipe deve escolher a versão correspondente à sua linha e observar a exigência de **GDAL 3.9** para o caso de SpatialReference.

O **próximo passo** é levantar as dependências em produção, conferir se os recursos afetados estão ativos e aplicar a atualização compatível, sem misturar as linhas de suporte. As notas dos dois projetos dão os alvos; a decisão operacional fica com cada equipe. Sistemas seguros também precisam de inventário, até quando o bug parece morar longe da tela.