nextjs.vnEnglish

Tất cả lỗ hổng

Thực thi mã từ xa qua Image Optimization khi dùng ảnh SVG

Nghiêm trọng CVSS 9.5 · Công bố 22/10/2026 · GHSA-2464-fhr4-w9xw · CVE-2026-96889

Tiêu đề gốc: Next.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used

Chuyện gì xảy ra

Một lỗi bộ nhớ trong thư viện xử lý ảnh mà Next.js dùng cho Image Optimization (sharp) có thể cho phép kẻ tấn công chưa đăng nhập chạy mã trên máy chủ. Lỗi xảy ra khi Next.js chạy trên Linux dùng glibc.

Ai bị ảnh hưởng

  • Next.js chạy trên Linux dùng glibc (ví dụ Debian, Ubuntu) và dùng API tối ưu ảnh của Next.js.
  • Theo tiêu đề cảnh báo, lỗi liên quan tới việc tối ưu ảnh SVG.

Bản bị ảnh hưởng và bản vá

Bản bị ảnh hưởngBản vá
>= 10.0.0, <= 15.5.2715.5.28
>= 16.0.0, <= 16.4.016.4.1

Cách xử lý

  • Nâng Next.js lên bản vá trong bảng dưới. Khi đó trình quản lý gói tự lấy bản sharp đã sửa.
  • Nếu chưa nâng được: bảo đảm sharp mà Next.js dùng là 0.35.5 trở lên. Cài mới từ đầu sẽ tự nhận bản đã sửa.

Tự kiểm tra

  • Chạy npm ls next sharp (hoặc bun pm ls) và so phiên bản với bảng dưới và với mốc sharp 0.35.5.
  • Xem máy chủ có phải Linux glibc không: dòng đầu của ldd --version ghi GNU libc hoặc GLIBC (máy dùng musl ghi musl).

Nguồn

Viết lại từ cảnh báo gốc; phiên bản lấy từ GitHub Advisory Database (CC-BY-4.0), cập nhật 29/10/2026. Khi có khác biệt, cảnh báo gốc là chuẩn.