Më 22 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-2464-fhr4-w9xw për një dobësi me rrezikshmëri kritike (CVSS 9.5) në paketën next të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- next (npm) — versionet e prekura:
>= 10.0.0, <= 15.5.27; versioni me rregullim:15.5.28 - next (npm) — versionet e prekura:
>= 16.0.0, <= 16.4.0; versioni me rregullim:16.4.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.5)
- CWE: CWE-1395 (Dependency on Vulnerable Third-Party Component)
- Identifikuesit: GHSA-2464-fhr4-w9xw
Përmbledhja zyrtare (në anglisht)
Next.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used — Impact A memory-related vulnerability has been discovered in an upstream library used for Image Optimization can lead to possible remote code execution (RCE) when Next.js runs on glibc-based Linux. Workaround Ensure the version of sharp used by Next.js is greater than or equal to 0.35.5 . Fresh installs automatically get a fixed version of sharp . Upgrading Next.js to the patched versions will ensure package managers automatically provide a fixed version of sharp to Next.js.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin next, përditësojeni sa më shpejt në versionin 15.5.28 ose më të ri.
