O Next.js lançou uma atualização de segurança fora de banda em 14 de outubro para corrigir duas falhas críticas de execução remota de código (RCE) e uma falha de negação de serviço (DoS) de alta gravidade. As vulnerabilidades afetam o processamento de imagens SVG e o componente React Server Components.
Detalhes Técnicos
Duas falhas críticas de RCE foram corrigidas, uma no React Server Components e outra na biblioteca librsvg, usada pelo pacote sharp para lidar com imagens SVG.
Uma falha de DoS de alta gravidade também foi corrigida.
As vulnerabilidades permitem que atacantes executem código remotamente sem autenticação.
Recomendações
Atualize o Next.js para a versão corrigida o mais rápido possível.
Verifique se as bibliotecas sharp e librsvg estão atualizadas.
Implemente medidas de segurança adicionais, como validação de entrada de dados e limites de taxa, para prevenir ataques.
A atualização de segurança está disponível para download no site oficial do Next.js.
