آسیب‌پذیری بحرانی Next.js: اجرای کد از راه دور با تصاویر SVG

تیم Next.js روز ۱۴ اکتبر ۲۰۲۶ یک به‌روزرسانی امنیتی خارج از برنامه منتشر کرد که سه آسیب‌پذیری را برطرف می‌کند. مهم‌ترین آن‌ها با شناسه‌ی CVE-2026-96889 (GHSA-2464-fhr4-w9xw) در API بهینه‌سازی تصویر (Image Optimization) است و به مهاجم اجازه می‌دهد بدون احراز هویت و هنگام پردازش فایل‌های SVG، روی سرور کد اجرا کند. امتیاز CVSS 4.0 این آسیب‌پذیری ۹.۵ از ۱۰ و سطح آن «بحرانی» است. ریشه‌ی مشکل یک باگ use-after-free در کتابخانه‌ی librsvg است که کتابخانه‌ی sharp برای پردازش SVG از آن استفاده می‌کند. این باگ وقتی رخ می‌دهد که یک سند SVG چند XInclude تودرتو با تعریف تکراری entity داشته باشد. به گفته‌ی Vercel، امکان اجرای کد فقط وقتی وجود دارد که Next.js روی لینوکس مبتنی بر glibc اجرا شود؛ مثلاً کانتینرهای Debian یا Ubuntu. نسخه‌های 10.0.0 تا 15.5.27 و 16.0.0 تا 16.4.0 آسیب‌پذیرند و نسخه‌های 15.5.28 و 16.4.1 مشکل را رفع کرده‌اند. در همین به‌روزرسانی دو آسیب‌پذیری دیگر هم رفع شد. GHSA-673q-mjm6-r5xr، با امتیاز ۹.۵، اجرای کد از راه دور در اپ‌هایی است که از App Router و Cache Components استفاده می‌کنند و یک تابع `use cache` دارند که چند typed array برمی‌گرداند. این مشکل فقط نسخه‌های 16.0.0 تا 16.4.0 را تحت تأثیر قرار می‌دهد. GHSA-p3m5-59mp-jv5r، با امتیاز ۸.۲، هم به مهاجم اجازه می‌دهد با درخواست‌های دستکاری‌شده به Server Actions، پردازنده را درگیر کند و سرویس را از کار بیندازد. راه اصلی محافظت، ارتقا به Next.js 16.4.1 یا 15.5.28 و سپس build و deploy دوباره است. برای آسیب‌پذیری SVG، Vercel توصیه می‌کند مطمئن شوید نسخه‌ی sharp حداقل 0.35.5 است. کاربران شاخه‌ی ۱۵ دقت کنند که اگر فایل lock هنوز sharp 0.34 را نگه داشته باشد، ممکن است با ارتقای Next.js به‌تنهایی به‌روز نشود؛ پس خروجی `npm ls next sharp` را بررسی کنید. برای دو آسیب‌پذیری دیگر راه‌حل موقتی وجود ندارد و تنها راه، ارتقاست.