Kritisk: fjärrkörning av kod i next/og ImageResponse

En kritisk sårbarhet i next/og låter en angripare köra kod på servern via ImageResponse. Alla som genererar bilder dynamiskt, till exempel Open Graph-bilder, bör uppdatera direkt.

Säkerhetsproblem som åtgärdats

Kritiskt (GHSA-vcvr-r3jv-pc5j): fjärrkörning av kod i next/og ImageResponse

Vad innebär det för utvecklare?

Gäller alla som genererar bilder med ImageResponse från next/og. Störst är risken när bilden byggs av indata från användaren vid körning. Bilder som bara genereras vid byggtillfället, som på en statiskt exporterad sajt, exponerar ingen server i drift, men uppdatera ändå så att beroendet är rättat nästa gång du bygger.

Vad innebär det för verksamheter?

Delningsbilder för sociala medier är den vanligaste användningen av den här funktionen, så många sajter berörs utan att ägaren vet om det. Fråga leverantören om sajten genererar bilder dynamiskt och om den är uppdaterad.

Officiell release på GitHub ↗