Kritisk säkerhetsrelease: fjärrkörning via use cache och SVG-bilder
Två kritiska sårbarheter som tillåter fjärrkörning av kod utan inloggning, i use cache-funktioner och i bildoptimeringen när SVG används, samt en överbelastningsrisk i Server Actions. Uppdatera omgående.
Säkerhetsproblem som åtgärdats
- Kritiskt: fjärrkörning av kod utan autentisering i use cache-funktioner som returnerar typed arrays
- Kritiskt: fjärrkörning av kod utan autentisering i Image Optimization API när SVG-filer används
- Hög: överbelastning (denial of service) i App Router via Server Actions
Vad innebär det för utvecklare?
Alla tre går att utnyttja utan inloggning, så det räcker inte att sajten saknar användarkonton. Kör du 16.x uppdaterar du till 16.4.1 i dag, oavsett om du använder use cache eller inte. Bildoptimeringen är påslagen så fort next/image används med fjärrbilder. Kör du fortfarande 15.x finns SVG- och Server Actions-rättningarna i 15.5.28.
Vad innebär det för verksamheter?
Fjärrkörning av kod betyder att en angripare kan köra egna program på servern som driver er hemsida, med allt vad det innebär för data och tillgänglighet. Be er leverantör bekräfta att uppdateringen är gjord. Statiskt exporterade sajter utan server berörs inte.