یه آسیب‌پذیری خیلی جدی توی Next.js و کتاب‌خانه‌ی React Server Components (RSC) پیدا شده، به حدی خطرناک که نمرهٔ «۱۰ از ۱۰» (CVSS 10.0) گرفته.

این باگ به مهاجم اجازه می‌ده با فرستادن یه درخواست دست‌کاری‌شده (crafted request)، بدون احراز هویت، کد دلخواه خودش رو روی سرور اجرا کنه، یعنی یه RCE جدی.

این ضعف میتونه به حمله از راه دور منجر بشه؛ یعنی مهاجم میتونه از طریق ارسال درخواست‌های ساخته‌شده (crafted request) کد دلخواه خود را روی سرور اجرا کنه (Remote Code Execution - RCE).

تجربه خود رادیو اسکریپت و اپلیکیشنش به این شکل بود که اسکریپت اجرا شده 100 درصد سی پی یو و رم رو اشغال میکرد.

این مشکل واقعا جدیه، به طوری که کلود فلر رو دچار مشکل کرده همونطور که توی خبر قبلی اشاره کردیم. اینجا

مشکل دقیقاً چیه؟

داستان از این قراره که پروتکل RSC (به اسم Flight) موقع باز کردن داده‌هایی که از سمت کلاینت میان، چک‌های کافی انجام نمی‌داده. همین باعث می‌شه کسی بتونه با ساختن درخواست‌های عجیب‌غریب، کاری کنه سرور کدهای مخرب‌شو اجرا کنه.

چه نسخه‌هایی درگیرن؟

اگر پروژه‌ت روی یکی از این نسخه‌ها باشه، احتمالاً آسیب‌پذیره:

Next.js نسخه‌های 15 و 16
نسخه‌های canary از 14.3.0-canary.77 به بعد

اما اگر روی 13.x یا 14.x پایدار هستی، یا از Pages Router یا Edge Runtime استفاده می‌کنی، خیالت راحت باشه این باگ شامل حال تو نمی‌شه.

چی کار باید بکنم؟

نسخه‌ی Next.js پروژه‌تو چک کن.
اگر توی بازه نسخه‌های خطرناک بودی سریعاً آپدیت کن.
دوباره build و deploy کن.

در حال حاضر هیچ تنظیم یا ترفند موقتی وجود نداره که این مشکل رو برطرف کنه؛ تنها راه‌حل، آپدیت کردن نسخه است.

نسخه‌های امن منتشر شده

تیم Next.js خیلی سریع دست‌به‌کار شده و پچ ارائه داده.
اگر از نسخه‌های 15 یا 16 استفاده می‌کنی، باید فوراً به یکی از این نسخه‌ها آپدیت کنی:

15.0.5
15.1.9
15.2.6
15.3.6
15.4.8
15.5.7
16.0.7

اگر هم روی canary هستی، پیشنهاد خودشون اینه که فعلاً برگردی به آخرین نسخه پایدار 14.x.

npm install next@14

برای دستور عمل های بیشتر از اینجا دیدن کنید.

باگ خطرناک Next.js (CVE-2025-66478)

علی صفری

نظرات