Ein präpariertes AVIF-Bild an die Bildoptimierung rief über sharp und libvips die Bibliothek libheif auf. Am 11. und 12. August 2026 meldete Hacktron den Fehler und wies ihn mit Beispielcode nach, am 13. August sperrte Vercel den Weg auf seiner Plattform, am 25. August erschien die Next.js-Sicherheitsfassung ohne AVIF-Optimierung. Am selben Tag veröffentlichte das libheif-Projekt Fassung 1.23.2 mit sieben behobenen Schwachstellen, zwei davon als kritisch eingestuft. Einen Missbrauch außerhalb der Tests nennt keiner der Berichte.