Kritiska säkerhetsluckor i Next.js: uppdatera till 16.4.1 eller 15.5.28

Den 14 oktober släppte Next.js en extra säkerhetsuppdatering utanför den vanliga releasecykeln. Den täpper till två kritiska sårbarheter som kan ge en angripare möjlighet att köra kod på servern, utan att logga in. Kör din webbplats eller webbapp på Next.js är rådet enkelt: uppdatera nu.

Vad har hänt?

Uppdateringen aviserades en vecka i förväg och innehåller bland annat två rättningar som sköts upp från septembers säkerhetsrelease, eftersom de väntade på fixar i underliggande beroenden. Enligt Next.js säkerhetsmeddelande gäller det tre sårbarheter:

• Fjärrkörning av kod i use cache-funktioner (kritisk). Gäller appar som använder App Router med Cache Components, när en cachad funktion returnerar flera typade arrayer. Det finns ingen tillfällig lösning, och Next.js rekommenderar att alla uppdaterar även om de inte har sådana funktioner.
• Fjärrkörning av kod via bildoptimeringen med SVG (kritisk). Felet sitter i ett bibliotek som bildoptimeringen använder och gäller när Next.js körs på glibc-baserad Linux. En tillfällig lösning är att se till att sharp är version 0.35.5 eller senare.
• Överbelastning via Server Actions (hög). Särskilt utformade anrop kan låsa processorn i appar som använder App Router och minst en Server Action. Pages Router påverkas inte.

Vad ska du göra?

De rättade versionerna är 16.4.1 för 16.4 och 15.5.28 för 15.5. Kontrollera vilken version ni kör, uppdatera paketet next, bygg om och driftsätt. När Next.js uppdateras får bildoptimeringen automatiskt en rättad version av sharp. Kör ni en äldre huvudversion än 15.5 är det också dags att planera en uppgradering till en version som fortfarande får säkerhetsrättningar.

Uppdateringar är en del av förvaltningen

Next.js är vårt förstahandsval för webben, och vi har skrivit om varför i Webbutveckling med Next.js. Det är också frontend-tekniken vi oftast använder ihop med vårt headless CMS Objectic. Men ett modernt ramverk är bara så säkert som den senaste versionen man faktiskt kör. Därför behöver beroenden bevakas och uppdateras löpande, inte bara när en sajt byggs om.

Det är precis det som ingår när vi förvaltar och vidareutvecklar webbplatser och system: bevakning av säkerhetsmeddelanden, uppdateringar och driftsättning. Läs mer om hur vi bygger webbplatser och webbapplikationer, eller hör av dig om du är osäker på om din sajt berörs, så hjälper vi dig att ta reda på det.