Säkerhetsrelease med nio advisories: SSRF, proxy-bypass och cacheförvirring

Fyra sårbarheter med hög allvarlighetsgrad och fem måttliga rättas i ett svep, bland annat SSRF i rewrites och Server Actions, en förbikoppling av middleware i Turbopack-byggen och cacheförvirring av svarskroppar.

Säkerhetsproblem som åtgärdats

Hög: överbelastning i App Router via Server Actions
Hög: förbikoppling av middleware/proxy i App Router-appar som byggs med Turbopack och har en enda locale
Hög: server-side request forgery i rewrites där angriparen styr destinationens värdnamn
Hög: server-side request forgery i Server Actions på custom servers
Måttlig: cacheförvirring av svarskroppar för requests med body
Måttlig: cacheförvirring av svarskroppar vid ogiltiga UTF-8-sekvenser i bodyn
Måttlig: överbelastning i Image Optimization API via SVG
Måttlig: interna Server Function-endpoints kunde avslöjas utan autentisering
Måttlig: obegränsad Server Action-payload i Edge runtime

Vad innebär det för utvecklare?

Middleware-förbikopplingen gäller bara Turbopack-byggen med en enda locale konfigurerad, men SSRF-felen i rewrites och Server Actions kan drabba de flesta appar med dynamiska destinationer eller egen server. Samma rättningar finns i 15.5.21.

Vad innebär det för verksamheter?

Flera av felen låter en angripare få servern att anropa interna system, eller få cachade svar att hamna hos fel besökare. Kontrollera att er sajt kör 16.2.11 eller senare, alternativt 15.5.21.

Officiell release på GitHub ↗