Next.jsでキャッシュ関数の処理により遠隔からコードを実行される
概要
Next.js の App Router で Cache Component を使う一部のアプリに、認証なしで遠隔からコードを実行される脆弱性が見つかりました。深刻度は緊急で、CVSS v4 のスコアは 9.5 です。影響を受けるのは npm パッケージ next で、修正版 16.4.1 以降へ直ちに更新してください。回避策は確認されていません。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Next.js の App Router で Cache Component を使う一部のアプリに、認証なしで遠隔からコードを実行される脆弱性が見つかりました。深刻度は緊急で、CVSS v4 のスコアは 9.5 です。影響を受けるのは npm パッケージ next で、修正版 16.4.1 以降へ直ちに更新してください。回避策は確認されていません。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| npm | next |
>=16.0.0 <= 16.4.0 |
16.4.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Impact
A vulnerability in applications using App router with Cache Component can lead to remote code execution. The application needs to have a use cache function that returns multiple typed arrays.
Workaround
There is no known workaround for affected applications with such use cache functions. You should upgrade immediately even if your application does not have similar functions.
出典: GitHub Repository Security Advisories (Game のスタック) GitHub Advisory OSV
参照URL
- GITHUB_REPO_ADVISORY vercel/next.js