Уязвимость
GHSA-vcvr-r3jv-pc5j в Next.js касается 4% сайтов Топ-10 000 с известным стеком
Затронуты сайты, у которых фреймворк — Next.js.
стек известен у 7 156 сайтов · доли — от них · 26 октября, 17:16 мск
- Уязвимости
- GHSA-vcvr-r3jv-pc5j
- Оценка
- 9,5 из 10
- Опубликована
- Чем грозит
- Чужой код выполняется на сервере без входа на сайт.
- Затронуто
Next.js- Исправления Next.js
- Закрывает
- Next.js 16.3.6 и новее
Топ-10014%
Топ-10009%
Топ-10 0004%
Какая версия Next.js закрывает уязвимость
| Ветка | Уязвима | Закрыта |
|---|---|---|
| 16.3 | ниже 16.3.6 | Есть выпуск с 16.3.6 |
Сайты на Next.js сейчас
Next.js →Работают
0%обычно 0,4%–1,2%
Хроника
- Опубликованы GHSA-vcvr-r3jv-pc5j, оценка 9,5 из 10
- Вышли исправления Next.js
Что сделать владельцу сайта
Её называет package.json проекта или команда в папке проекта.
Команда на сервереnpx next --version16.3.6. Номер — в package.json, затем установка пакетов.
Команда на сервереnpm installДо перезапуска работает старая сборка.
Команда на сервереnpm run buildСайт работал на уязвимой версии — пароли к базе, ключи API и сессии пользователей могли утечь.