- Une vulnérabilité de sécurité permettant une exécution de code à distance (RCE) a été signalée dans React et Next.js
- Le problème provient du package Next.js ; un attaquant peut provoquer l’exécution de code arbitraire en envoyant une entrée malveillante
- Vercel a rendu publique la vulnérabilité via l’avis de sécurité GitHub (GHSA-9qr9-h5gf-34mp) et a publié une version mise à jour
- Les utilisateurs doivent effectuer une mise à niveau vers la dernière version pour réduire ce risque
- Ce cas rappelle l'importance d'une gestion de la sécurité au niveau du framework
Vue d'ensemble de la vulnérabilité RCE
- Une vulnérabilité permettant l’exécution de code à distance a été découverte dans les environnements Next.js et React
- Il existe un risque qu’un attaquant puisse exécuter du code JavaScript arbitraire côté serveur
- Cette vulnérabilité survient dans le flux de traitement du code interne du package Next.js
- Les détails sur les fonctions ou modules spécifiques touchés n’ont pas été rendus publics
Impact et réponse
- Vercel a officiellement annoncé le problème via l’avis de sécurité GitHub (GHSA-9qr9-h5gf-34mp)
- Cet avis a été publié dans la section des avis de sécurité du dépôt Next.js
- Les versions touchées n’ont pas été précisées, mais une version corrigée a été déployée
- Il est recommandé aux utilisateurs d’effectuer une mise à niveau vers la dernière version stable
Recommandations de sécurité et actions
- Tous les projets utilisant le package Next.js doivent vérifier immédiatement leur version
- La version de Next.js dans
package.json doit être maintenue à jour
- En dehors de la publication de la version corrigée, Vercel n’a pas mentionné de mesures d'atténuation supplémentaires
- Les détails techniques de la vulnérabilité restent non divulgués, seules des informations limitées ont été fournies pour des raisons de sécurité
Importance
- Cette vulnérabilité illustre le risque d'exécution de code dans un environnement de rendu côté serveur
- Les opérateurs de services basés sur React et Next.js doivent appliquer régulièrement les mises à jour de sécurité
- Une vulnérabilité au niveau du framework peut avoir un impact direct sur la sécurité globale de l’application
Aucun commentaire pour le moment.