Следующие.js Корабли, выходящие за пределы полосы, для двух критических ручных кабелей RCE в процессе обработки и обработки SVG

Следующий.Js выпустили 14 октября недиапазонное обновление системы безопасности, которое исправляет два важнейших недостатка, которые позволяют произвести непоправимое дистанционное исполнение кода наряду с высоким уровнем отказа в обслуживании. Один из недостатков в коде-исключении находится в компонентах React Server, а другой - в библиотеках с открытым исходным кодом Next.js использует через острый пакет для обработки изображений SVG. Эти исправления содержатся в следующих выпусках: "Hext.js 16.4.1" и 15.5.28 (нынешние долгосрочные версии программы активной поддержки и обслуживания). Обновление охватывает три отдельных вопроса. Vercel, который развивает Next.js, оценил оба критиковых дефекта, каждый из которых имеет 9,5 балла CVSS. В таблице перечислены варианты каждого выпуска и версия, которая его решает. Первая неисправность кода-исключения — в компонентах React Server, функции React, которая работает с компонентами пользователя-интерфайс на сервере. Консультационные услуги React охватывают три пакета: реакцию-сервер-дома-вебпак, ответный сервер-дом-парсель и реагирующий-сериал домикс турбока в версиях 19.0,0-19.3.0. В приложении Next.js, спусковой крючок — это функция использования кэша, которая возвращает более чем один типный массив, поэтому обнаружаются только версии 16 приложений, которые позволяют использовать компоненты Cach, функцию, лежащую за кешем. Версель говорит, что нужно усовершенствовать даже если у вашего приложения нет такой функции. Второй недостаток…