Wykryto krytyczną lukę bezpieczeństwa w funkcji Next.js ImageResponse, umożliwiającą atakującym wykonanie kodu na serwerze poprzez spreparowane dane SVG, gdy kontrolowane przez nich wartości są umieszczane w generowanych obrazach. Vercel załatał problem we wrześniu w wersji 16.3.6, a dotyczy ona wersji 16.2.0 do 16.3.5 działających na środowisku Node.js. Zgłoszono brak publicznych ataków, lecz zaleca się aktualizację lub tymczasowe unikanie wstawiania niepewnych danych do SVG.
Źródło: The Hackers News
Kategoria: Oprogramowanie
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)