- The Hacker News表示，Next.js修复了两个严重远程代码执行漏洞和一个高危拒绝服务漏洞。
- The Hacker News表示，修复版本为Next.js 16.4.1和15.5.28。
- The Hacker News表示，截至10月15日，没有公开报告称这三个漏洞已被用于攻击。
据The Hacker News报道，Next.js于10月14日发布带外安全更新，修复了两个可导致未认证远程代码执行的严重漏洞和一个高危拒绝服务漏洞。
开发Next.js的Vercel将两个代码执行漏洞均评为严重，每个漏洞的CVSS评分均为9.5。截至10月15日，没有公开报告称这三个漏洞中的任何一个已被用于攻击，The Hacker News表示。
React表示，针对支持React Server Components的框架制作的有效载荷可能导致远程代码执行。React表示，React代码不使用服务端，或不使用支持React Server Components的框架、打包器或打包器插件的应用不受该漏洞影响。
React Server Components漏洞影响特定版本范围
React表示，针对支持React Server Components的框架制作的有效载荷可能导致远程代码执行。该问题影响极少见的情况，涉及传输多个类型化数组和攻击者控制的值的响应。
| 受影响版本 | 修复版本 |
|---|---|
| 19.0.0至19.0.8 | 19.0.09 |
| 19.1.0至19.1.9 | 19.1.10 |
| 19.2.0至19.2.8 | 19.2.9 |
| 19.3.0 | 19.3.1 |
Netlify描述对其平台的影响
Netlify表示，同一漏洞可通过next/og ImageResponse触及，经ImageResponse处理不可信输入的应用受影响。在Netlify上，消耗某个函数过多CPU的恶意请求不会影响其他请求，但主动利用可能增加函数成本。
Netlify表示，在其环境中，影响仅限于函数调用崩溃，而不是代码执行。该公司还警告称，公开可用的部署预览和分支部署可能仍然存在漏洞，直到它们被自动删除。
React建议立即更新。它将修复回移植到19.0.09、19.1.10、19.2.9和19.3.1版本。
Netlify建议将Next.js升级到15.5.28或16.4.1，并尽快重新部署。它警告称，公开可用的部署预览和分支部署可能仍然存在漏洞，直到它们被自动删除。
防守方现在要做什么
- 立即更新。
- 将Next.js升级到15.5.28或16.4.1，并尽快重新部署。
常见问题
Next.js安全更新发生了什么？
The Hacker News表示，Next.js于10月14日发布带外更新，修复了两个可导致未认证远程代码执行的严重漏洞和一个高危拒绝服务漏洞。
Next.js漏洞是否已被利用？
The Hacker News表示，截至10月15日，没有公开报告称10月14日修复的三个漏洞中的任何一个已被用于攻击。
谁会受到React Server Components漏洞影响？
该漏洞存在于列出的React版本，针对支持React Server Components的框架制作的有效载荷可能导致远程代码执行。React表示，React代码不使用服务端，或不使用支持React Server Components的框架、打包器或打包器插件的应用不受影响。
Next.js用户应如何修复这些漏洞？
Netlify建议将Next.js升级到15.5.28或16.4.1，并尽快重新部署。React建议立即更新。
来源
- Unauthenticated Remote Code Execution in React Server Components, GitHub原始文件
- GHSA-wq5f-xc86-pv6w - GitHub Advisory Database, GitHub原始文件
- Next.js & React security release (Oct 2026): what to know, Netlify原始文件
- Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing, The Hacker News
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| The Hacker News表示，next.js于10月14日发布带外安全更新，修复了两个可导致未认证远程代码执行的严重漏洞和一个高危拒绝服务漏洞。 | The Hacker News | 引述 |
| The Hacker News表示，修复版本为Next.js 16.4.1和15.5.28，即当前的Active和Maintenance长期支持版本。 | The Hacker News | 引述 |
| Vercel将两个代码执行漏洞均评为严重。 | Vercel, via The Hacker News | 引述 |
| Vercel将两个代码执行漏洞的CVSS评分均评为9.5。 | Vercel, via The Hacker News | 引述 |
| 针对支持React Server Components的框架制作的有效载荷可能导致远程代码执行。 | React, via GitHub | 已证实 |
| React Server Components漏洞影响涉及多个类型化数组和攻击者控制的值的极少见情况。 | React, via GitHub | 已证实 |
| React Server Components漏洞影响19.0.0至19.0.8、19.1.0至19.1.9、19.2.0至19.2.8和19.3.0版本。 | React, via GitHub | 已证实 |
| React将修复回移植到19.0.09、19.1.10、19.2.9和19.3.1版本。 | React, via GitHub | 已证实 |
| React表示，不含服务端React代码的应用不受影响。 | React, via GitHub | 已证实 |
| React表示，不使用支持React Server Components的框架、打包器或打包器插件的应用不受影响。 | React, via GitHub | 已证实 |
| librsvg漏洞在基于glibc的Linux上、特定运行时条件下，可能导致远程代码执行。 | sharp, via GitHub | 已证实 |
| sharp公告建议升级到0.35.5版本，该版本提供librsvg 2.63.2。 | sharp, via GitHub | 已证实 |
| Netlify表示，当应用渲染不可信输入时，可通过next/og ImageResponse触及图像处理漏洞。 | Netlify | 已证实 |
| Netlify表示，图像处理漏洞对其自动扩缩无服务器架构的影响有限，但利用可能增加函数成本。 | Netlify | 已证实 |
| Netlify表示，消耗某个函数过多CPU的恶意请求不会影响其他请求，但利用可能增加函数成本。 | Netlify | 已证实 |
| The Hacker News表示，截至10月15日，没有公开报告称10月14日修复的三个漏洞中的任何一个已被用于攻击。 | The Hacker News | 引述 |
| Netlify警告称，公开可用的部署预览和分支部署可能仍然存在漏洞，直到被自动删除。 | Netlify | 已证实 |
| Red Hat将librsvg漏洞评分为7.8，并表示利用该漏洞需要用户交互，例如打开恶意文件。 | Red Hat, via The Hacker News | 引述 |
未能核实
- 尚未确定这三个漏洞是否已在实际环境中遭到利用。
- 尚未确定有多少应用或用户受到影响。
- 尚未确定React Server Components漏洞是否有CVE编号。
- 尚未确定这三个漏洞是否与同一攻击者或活动有关。
