Kritisk säkerhetsrelease: fjärrkörning på Windows-servrar och via AVIF

Två kritiska sårbarheter som tillåter fjärrkörning av kod utan inloggning: en på servrar som körs på Windows och en i bildoptimeringen när AVIF-filer används.

Säkerhetsproblem som åtgärdats

Kritiskt: fjärrkörning av kod utan autentisering på servrar som körs på Windows
Kritiskt: fjärrkörning av kod utan autentisering i Image Optimization API när AVIF-filer används

Vad innebär det för utvecklare?

Båda är kritiska och kräver ingen inloggning. AVIF-optimeringen stängs av som en del av rättningen och slås på igen i 16.3.4. Kör du Next.js på en Windows-server är den första sårbarheten direkt relevant oavsett hur sajten ser ut.

Vad innebär det för verksamheter?

Uppdatera samma dag. Fråga leverantören om sajten optimerar bilder och om servern kör Windows, de två fall där risken är störst.

Officiell release på GitHub ↗