14 октября команда Next.js анонсировала экстренное обновление безопасности, которое исправляет две критические уязвимости, позволяющие неаутентифицированное удаленное выполнение кода (RCE), а также серьезную уязвимость, связанную с отказом в обслуживании (DoS). Первая уязвимость связана с компонентами React Server, а вторая — с библиотекой librsvg, используемой для обработки SVG-изображений через пакет sharp.

Уязвимости представляют собой серьезную угрозу для пользователей Next.js, так как они могут быть использованы злоумышленниками для выполнения произвольного кода на серверах, что может привести к компрометации данных и нарушению работы приложений. Особенно это опасно для тех, кто использует React Server Components в своих проектах.

Обновление было выпущено вне графика, что подчеркивает его критическую важность. Разработчики настоятельно рекомендуют всем пользователям Next.js немедленно установить последние исправления, чтобы защитить свои приложения от потенциальных атак.

Помимо устранения уязвимостей RCE, обновление также включает исправление уязвимости, связанной с отказом в обслуживании, что может привести к временной недоступности сервисов, использующих Next.js. Эта проблема также требует внимания, так как может негативно сказаться на пользовательском опыте.

Разработчики Next.js продолжают активно работать над улучшением безопасности своей платформы и рекомендуют следить за обновлениями, чтобы быть в курсе последних изменений и рекомендаций по безопасности. Пользователям стоит обратить особое внимание на использование проверенных библиотек и компонентов, чтобы минимизировать риски для своих проектов.

Источник новости:
The Hacker News

Читать полностью