#nextjs
-
Next.js выпустил внеплановый патч для двух критических RCE-уязвимостей
14 октября Vercel закрыла две критические уязвимости удалённого выполнения кода — в React Server Components и в библиотеке librsvg — а также уязвимость, приводящую к отказу в обслуживании.
-
Критическая уязвимость в Next.js: код на сервере через подставленный SVG
Функция ImageResponse, генерирующая картинки для соцсетей, при определённых условиях позволяет выполнить произвольный код на сервере. Vercel выпустила исправление 22 сентября.
-
Next.js закрыл две критические уязвимости с удалённым выполнением кода
Vercel выпустил внеплановые патчи для Next.js: одна брешь эксплуатируется через вредоносный AVIF-файл, другая — через обход пути на Windows-серверах. Обе позволяют выполнить код без аутентификации.