Faille critique dans Next.js ImageResponse : risque d'exécution de code via un SVG malveillant ثغرة خطيرة في خاصية ImageResponse لإطار Next.js: خطر تنفيذ التعليمات البرمجية عبر ملف SVG ضار
Vercel a révélé une vulnérabilité affectant la fonctionnalité ImageResponse de Next.js, utilisée pour générer les aperçus sociaux (Open Graph). Un attaquant pourrait exploiter cette faille pour exécuter du code sur le serveur, notamment lorsque l'application intègre des valeurs contrôlées par l'utilisateur, comme du texte issu de l'URL de la requête, dans la génération d'image via un SVG conçu à cet effet. Le correctif a été publié le 22 septembre par l'éditeur, qui recommande une mise à jour rapide des applications concernées. كشفت شركة Vercel عن ثغرة أمنية تؤثر على خاصية ImageResponse في إطار العمل Next.js، المستخدمة لتوليد معاينات المشاركة على الشبكات الاجتماعية (Open Graph). يمكن لمهاجم استغلال هذه الثغرة لتنفيذ تعليمات برمجية على الخادم، خاصة عندما يقوم التطبيق بإدراج قيم يتحكم فيها المستخدم، مثل نص مستخرج من رابط الطلب، ضمن عملية توليد الصورة عبر ملف SVG مُعدّ لهذا الغرض. تم إصدار التصحيح في 22 سبتمبر من قبل الشركة المطورة، التي توصي بتحديث التطبيقات المتأثرة على وجه السرعة.
- Produits concernésالمنتجات المعنية
- Next.js (fonctionnalité ImageResponse) Next.js (خاصية ImageResponse)
- Niveau de criticitéمستوى الخطورة
- Critique (selon la qualification de l'éditeur) خطيرة (وفقًا لتصنيف الشركة المطورة)
- Risque pour l'entrepriseالمخاطر على الشركة
- Un attaquant pourrait exécuter du code sur le serveur en exploitant des valeurs contrôlées par l'utilisateur intégrées dans la génération d'images via un SVG conçu à cet effet, compromettant potentiellement l'infrastructure hébergeant l'application. يمكن لمهاجم تنفيذ تعليمات برمجية على الخادم من خلال استغلال قيم يتحكم فيها المستخدم يتم إدراجها في عملية توليد الصور عبر ملف SVG مُعدّ لهذا الغرض، مما قد يعرض البنية التحتية المستضيفة للتطبيق للخطر.
- Action recommandéeالإجراء الموصى به
- Mettre à jour Next.js vers la version corrigée publiée le 22 septembre par Vercel dès que possible. تحديث Next.js إلى الإصدار المصحح الذي أصدرته Vercel في 22 سبتمبر في أقرب وقت ممكن.
Résumé rédigé par une intelligence artificielle à partir des sources publiques citées ci-dessus, relu et validé par l'équipe IT Solutions avant publication — contenu informationnel, non contractuel. Consultez toujours la source officielle avant toute action. تم إعداد هذا الملخص بواسطة الذكاء الاصطناعي انطلاقًا من المصادر العامة المذكورة أعلاه، وتمت مراجعته والتحقق منه من طرف فريق IT Solutions قبل النشر — محتوى إخباري وليس تعاقديًا. يُرجى دائمًا الرجوع إلى المصدر الرسمي قبل اتخاذ أي إجراء.