Next.js Tənqidi RCE İmkanı Verən AVIF və Windows Zəifliklərini Yamadı

Vercel Next.js-də Kritik Təhlükəsizlik Yamaları Yayımladı

Vercel şirkəti Next.js veb freymvorkunda iki kritik səviyyəli təhlükəsizlik boşluğunu aradan qaldıran yamalar yayımlayıb. Hər iki boşluq, xüsusi hazırlanmış şəraitdə təsdiqsiz RCE (Remote Code Execution) imkanı yaradırdı ki, bu da serverlər üçün ciddi təhlükə deməkdir.

Zəifliklərin Detalları

Aşkar edilmiş kritik boşluqlardan biri xüsusi hazırlanmış AVIF təsvir faylları vasitəsilə istismar edilə bilən zəiflikdir. Bu boşluq, pisniyyətli istifadəçilərə sistemdə icazəsiz kod çalıştırmağa imkan verərək, freymvorkun təsvir emalı mexanizmindəki bir səhvdən qaynaqlanır.

Digər boşluq isə Windows fayl sistemi istifadə edən serverlərə təsir edən bir yol keçidi (path traversal) zəifliyidir. CVE-2026-75604 olaraq izlənilən bu boşluq, hücumçulara sistemdəki qadağan olunmuş kataloqlara daxil olmaqla, fayl strukturu üzərində nəzarəti ələ keçirməyə və nəticədə RCE hücumu həyata keçirməyə imkan verir.

Hücum Riski və Təhlükə

Hər iki zəifliyin ortaq cəhəti, təsdiqsiz RCE imkanı yaratmasıdır. Bu, o deməkdir ki, hücumçular heç bir kimlik doğrulamasına ehtiyac duymadan uzaqdan serverdə kod icra edə bilərlər. Nəticədə, bu cür hücumlar məlumat sızması, sistemin tamamilə ələ keçirilməsi və ya freymvork üzərində çalışan bütün tətbiqlərin iflici ilə nəticələnə bilər.

Tövsiyələr və Yeniləmənin Vacibliyi

Vercel, Next.js istifadəçilərinə sistemlərini bu kritik təhlükələrdən qorumaq üçün ən qısa zamanda müvafiq təhlükəsizlik yamalarını tətbiq etməyi tövsiyə edir. Developerlər öz layihələrində istifadə etdikləri Next.js versiyalarını yoxlamalı və dərhal ən son təhlükəsizlik yeniləməsinə keçid etməlidirlər.