Внеплановое обновление безопасности теперь доступно в версиях v16.3.6 (Active LTS) и v15.5.26 (Maintenance LTS). Эти релизы обновляют вышестоящие зависимости, включая Satori, чтобы устранить проблему, которая могла привести к удаленному выполнению кода в затронутых версиях Next.js. Версия 15.5.26 включает связанное усиление защиты, но Next.js 15.x не подвержена уязвимости удаленного выполнения кода.
Пожалуйста, обновите зависимости Next.js, чтобы обеспечить безопасность ваших приложений.
Влияние
Удаленное выполнение кода в Node.js ImageResponse (критическая степень серьезности)
GHSA-vcvr-r3jv-pc5j (Next.js)
Затронуты версии Next.js >=16.2.0 <16.3.6.
Проблема затрагивает реализацию Node.js ImageResponse в next/og. При определенных условиях некорректное экранирование в выводе SVG, сгенерированном Satori, могло привести к удаленному выполнению кода из-за уязвимостей в других вышестоящих зависимостях. Исправление обновляет эти зависимости.
Приложения, использующие реализацию Edge ImageResponse, не затронуты.
Наша программа безопасности
Мы сотрудничаем с талантливыми исследователями для обеспечения безопасности Next.js и других открытых фреймворков посредством программы выплаты вознаграждений за уязвимости в открытом ПО от Vercel. Всех, кто заинтересован в повышении безопасности поддерживаемых фреймворков, приглашаем принять в ней участие.
Любые вопросы или опасения относительно наших программ безопасности или управления уязвимостями можно направлять на адрес security@vercel.com.
На этой странице
- Влияние
- Удаленное выполнение кода в Node.js ImageResponse (критическая степень серьезности)
- Наша программа безопасности
