Më 30 shtator 2026, GitHub publikoi këshillën e sigurisë GHSA-vcvr-r3jv-pc5j për një dobësi me rrezikshmëri kritike (CVSS 9.5) në paketën next të ekosistemit npm.
Paketat e prekura
- next (npm) — versionet e prekura:
>= 16.2.0, < 16.3.6; versioni me rregullim:16.3.6
Detaje
- Rrezikshmëria: Kritike (CVSS 9.5)
- CWE: CWE-1395 (Dependency on Vulnerable Third-Party Component)
- Identifikuesit: GHSA-vcvr-r3jv-pc5j
Përmbledhja zyrtare
Next.js: Ekzekutimi i kodit në distancë në Next/og ImageResponse — Impact Zbatimi i Node.js ImageResponse nga Next/og ndikohet nga një cenueshmëri në rrjedhën e sipërme. Kjo mund të çojë në ekzekutimin e kodit në distancë. Aplikacionet e prekura kalojnë vlerat e kontrolluara nga sulmuesi në përmbajtjen, atributet ose stilet SVG gjatë gjenerimit të imazhit: Aplikacionet që përdorin zbatimin Edge ImageResponse, ose aplikacionet që nuk kalojnë vlerat e kontrolluara nga sulmuesi në përmbajtjen, atributet ose stilet SVG, nuk preken. Nëse përmirësimi nuk është i mundur menjëherë, mos i kaloni vlerat e kontrolluara nga sulmuesi në përmbajtjen, atributet ose stilet SVG të dhëna nga Node.js ImageResponse…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin next, përditësojeni sa më shpejt në versionin 16.3.6 ose më të ri.
