اگه با Next.js کار می‌کنی، امروز نسخه‌ی پروژه‌هات رو چک کن.

تیم Next.js روز ۱۴ اکتبر یه آپدیت امنیتی اضطراری داد. سه آسیب‌پذیری داشت:

بحرانی: اجرای کد از راه دور (RCE) بدون احراز هویت، توی توابع use cache وقتی چند typed array برمی‌گردونن (App Router + Cache Components). راه‌حل موقت نداره.

بحرانی: RCE توی Image Optimization API هنگام کار با فایل SVG، روی لینوکس‌های glibc-based. راه‌حل موقت: نسخه‌ی sharp حداقل 0.35.5.

مهم: حمله‌ی DoS توی App Router وقتی حداقل یک Server Action داری. (Pages Router یا پروژه بدون Server Action آسیب‌پذیر نیست.)

نسخه‌های اصلاح‌شده:
npm install next@16.4.1
npm install next@15.5.28

۳ کار سریع:
1- با npm ls next نسخه‌ی پروژه‌هات رو ببین
2- آپدیت کن، حتی اگه فکر می‌کنی از use cache استفاده نمی‌کنی (خود تیم Next.js همین رو می‌گه)
3- اگه روی Docker و لینوکس دیپلوی می‌کنی، نسخه‌ی sharp رو هم چک کن

@DevTwitter | <Alireza Fakhar/>