Next.js выпустила внеплановый патч для двух критических RCE-уязвимостей

14 октября Next.js выпустила внеплановое обновление безопасности, закрывающее две критические уязвимости с удалённым выполнением кода без аутентификации и одну DoS-уязвимость высокой опасности. Одна RCE — в React Server Components, вторая — в библиотеке librsvg, используемой через пакет sharp для обработки SVG.

• Внеплановый патч вышел 14 октября
• Две критические RCE без аутентификации
• RCE в React Server Components и librsvg
• Также закрыта DoS-уязвимость высокой опасности