Next.jsでキャッシュ関数の処理により遠隔からコードを実行される
Summary
Next.js の App Router で Cache Component を使う一部のアプリに、認証なしで遠隔からコードを実行される脆弱性が見つかりました。深刻度は緊急で、CVSS v4 のスコアは 9.5 です。影響を受けるのは npm パッケージ next で、修正版 16.4.1 以降へ直ちに更新してください。回避策は確認されていません。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Next.js の App Router で Cache Component を使う一部のアプリに、認証なしで遠隔からコードを実行される脆弱性が見つかりました。深刻度は緊急で、CVSS v4 のスコアは 9.5 です。影響を受けるのは npm パッケージ next で、修正版 16.4.1 以降へ直ちに更新してください。回避策は確認されていません。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| npm | next |
>=16.0.0 <= 16.4.0 |
16.4.1 |
Original description The description as published by the source.
Impact
A vulnerability in applications using App router with Cache Component can lead to remote code execution. The application needs to have a use cache function that returns multiple typed arrays.
Workaround
There is no known workaround for affected applications with such use cache functions. You should upgrade immediately even if your application does not have similar functions.
Source: GitHub Repository Security Advisories (Game のスタック) GitHub Advisory OSV
References
- GITHUB_REPO_ADVISORY vercel/next.js