Next.js lanza un parche fuera de ciclo para dos vulnerabilidades críticas de ejecución remota de código (RCE) relacionadas con el almacenamiento en caché y el procesamiento de SVG

Se ha lan­za­do una ac­tua­li­za­ción de se­gu­ri­dad para Next.js que so­lu­cio­na tres pro­ble­mas dis­tin­tos, in­clu­yen­do dos vul­ne­ra­bi­li­da­des de eje­cu­ción re­mo­ta de có­di­go con­si­de­ra­das crí­ti­cas y un fallo de de­ne­ga­ción de ser­vi­cio. Los pro­ble­mas de eje­cu­ción de có­di­go afec­tan a los Com­po­nen­tes de Ser­vi­dor de React y a una li­bre­ría uti­li­za­da para pro­ce­sar imá­ge­nes SVG, mien­tras que el fallo de de­ne­ga­ción de ser­vi­cio im­pac­ta a las apli­ca­cio­nes que em­plean Ac­cio­nes de Ser­vi­dor.

Para mi­ti­gar estas fa­llas, se acon­se­ja ac­tua­li­zar a las ver­sio­nes co­rres­pon­dien­tes y pos­te­rior­men­te re­cons­truir y des­ple­gar la apli­ca­ción. En el caso de la ver­sión in­fe­rior men­cio­na­da, puede ser ne­ce­sa­rio ve­ri­fi­car y ac­tua­li­zar ma­nual­men­te el pa­que­te re­la­cio­na­do con las imá­ge­nes si este no se ac­tua­li­za de forma au­to­má­ti­ca con el fra­me­work. Asi­mis­mo, se se­ña­la que al­gu­nos de estos pro­ble­mas no cuen­tan con so­lu­cio­nes tem­po­ra­les al­ter­na­ti­vas y es po­si­ble que las he­rra­mien­tas de aná­li­sis de de­pen­den­cias no emi­tan aler­tas al res­pec­to.

El ar­tícu­lo men­cio­na an­te­ce­den­tes re­cien­tes re­la­cio­na­dos con el pro­ce­sa­mien­to de imá­ge­nes en la pla­ta­for­ma, se­ña­lan­do que se han pre­sen­ta­do fa­llos si­mi­la­res en meses an­te­rio­res vin­cu­la­dos a com­po­nen­tes de ter­ce­ros. No obs­tan­te, se acla­ra que las vul­ne­ra­bi­li­da­des ac­tua­les di­fie­ren de un pro­ble­ma grave pre­vio y que, hasta la fecha des­cri­ta, no se han re­por­ta­do ata­ques que ex­plo­ten las fa­llas co­rre­gi­das en esta oca­sión.