تیم Next.js یک Security Update فوری برای آسیب‌پذیری Critical منتشر کرد
حدود ۱ دقیقه مطالعه
تیم Next.js در ۲۲ سپتامبر ۲۰۲۶ یک out-of-band security release منتشر کرد. این آپدیت یک آسیب‌پذیری Critical با امکان Remote Code Execution در پیاده‌سازی Node.js مربوط به ImageResponse در next/og رو برطرف می‌کنه.
نسخه‌های 16.2.0 تا قبل از 16.3.6 تحت تأثیر این آسیب‌پذیری هستن. مشکل از escaping نامناسب SVG تولیدشده توسط Satori و dependencyهای مرتبط ناشی می‌شه.
نسخه‌های patched:next@16.3.6
برای شاخه‌ی 15 هم نسخه‌ی 15.5.26 منتشر شده که شامل hardening مرتبطه؛ خود Next.js اعلام کرده که شاخه‌ی 15 تحت تأثیر RCE اصلی نبوده.
اگر از Next.js 16.2.x استفاده می‌کنید، آپدیت به 16.3.6 توصیه می‌شه:
npm install next@16.3.6
همچنین Next.js اعلام کرده یک security release برنامه‌ریزی‌شده‌ی دیگر برای ۳۰ سپتامبر در راهه که شامل نسخه‌های 16.3.7 و 15.5.27 و ۹ آسیب‌پذیری دیگه خواهد بود.
