Компания Vercel выпустила обновления безопасности для фреймворка Next.js, устраняющие две уязвимости критической степени, которые позволяют злоумышленникам выполнять удалённый код без аутентификации. Первая уязвимость связана с обработкой специально подготовленных AVIF изображений, вторая — с проблемой обхода путей, затрагивающей серверы, использующие файловую систему Windows.

Уязвимость, связанная с AVIF, позволяет атакующему загружать специально сконструированные изображения, которые могут вызвать выполнение произвольного кода на сервере. Это может привести к компрометации системы и получению доступа к конфиденциальной информации.

Вторая уязвимость, отслеживаемая под номером CVE-2026-75604, связана с обходом путей и может быть использована для доступа к файлам и каталогам, которые не предназначены для открытого доступа. Эта проблема также затрагивает пользователей Windows, что делает её особенно опасной для широкого круга организаций.

Разработчики Next.js настоятельно рекомендуют обновить свои версии фреймворка до последней, чтобы защитить свои приложения от возможных атак. Эти уязвимости подчеркивают важность регулярного обновления программного обеспечения и применения лучших практик в области безопасности.

Специалисты по кибербезопасности советуют пользователям также следить за другими потенциальными уязвимостями и применять дополнительные меры защиты, такие как использование межсетевых экранов и систем обнаружения вторжений. Обновление программного обеспечения должно стать приоритетом для всех, кто использует веб-технологии в своей работе.

Источник новости:
The Hacker News

Читать полностью