Säkerhetsrelease: SSRF i bildoptimeringen och cacheförgiftning

Sju advisories i en release: server-side request forgery i Image Optimization, cacheförgiftning av SSG- och ISR-sidor, läckage av Draft Mode-innehåll via use cache och mer.

Säkerhetsproblem som åtgärdats

Hög: server-side request forgery i Image Optimization
Måttlig: informationsläckage i App Routers metadata-bildrutter genom förbikoppling av dynamicParams
Måttlig: cacheförgiftning av SSG- och ISR-sidor i självhostade Next.js-appar
Måttlig: cacheförgiftning i SSG/ISR-renderingen som kan visa en besökares innehåll för en annan och ge varaktig överbelastning
Måttlig: en pågående use cache-fyllning kunde läcka Draft Mode-innehåll till vanliga svar och sparade sidor
Måttlig: cacheläckage mellan olika root param-värden i nästlade use cache-funktioner
Låg: informationsläckage i utvecklingsserverns Model Context Protocol-endpoint

Vad innebär det för utvecklare?

Allvarligast är SSRF via Image Optimization API, där en angripare kan få servern att göra anrop mot interna adresser. Cacheförgiftningarna gäller SSG- och ISR-sidor på egen drift, där en besökare kan få en annan besökares innehåll. Uppdatera till 16.3.8. På 15-spåret får 15.5.27 tre av rättningarna.

Vad innebär det för verksamheter?

Felen kan göra att fel innehåll visas för fel besökare, eller att sidor slutar fungera tills cachen rensas. Risken är störst för er som driftar sajten själva snarare än på en managed plattform. Uppdateringen är bakåtkompatibel.

Officiell release på GitHub ↗