O Vercel lançou patches de segurança para duas vulnerabilidades de gravidade crítica no framework web Next.js, permitindo execução de código remoto não autenticada. Uma é explorável via arquivos de imagem AVIF especialmente criados e a outra por meio de uma falha de travessia de caminho que afeta servidores que usam o sistema de arquivos do Windows.
CVE-2026-75604: Falha de travessia de caminho no Windows, permitindo execução de código remoto não autenticada.
Vulnerabilidade em AVIF: Execução de código remoto não autenticada via arquivos de imagem AVIF especialmente criados.
Recomendações
Atualizar o Next.js com os patches de segurança mais recentes.
Verificar se os servidores estão configurados corretamente para evitar travessias de caminho.
Monitorar o uso de imagens AVIF e garantir que sejam validadas corretamente.
