Thực thi mã từ xa qua Image Optimization khi tối ưu ảnh AVIF
Tiêu đề gốc: Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
Chuyện gì xảy ra
Thư viện libheif, mà sharp dùng và Next.js dùng sharp để tối ưu ảnh, có lỗ hổng cho phép chạy mã từ xa khi tối ưu ảnh AVIF. Kẻ tấn công không cần đăng nhập.
Ai bị ảnh hưởng
- Ứng dụng dùng API tối ưu ảnh của Next.js và tối ưu ảnh AVIF.
Bản bị ảnh hưởng và bản vá
| Bản bị ảnh hưởng | Bản vá |
|---|---|
>= 10.0.0, < 15.5.24 | 15.5.24 |
>= 16.0.0, < 16.3.3 | 16.3.3 |
Cách xử lý
- Nâng Next.js lên bản vá trong bảng dưới.
- Lưu ý: ở các bản vá, việc tối ưu ảnh AVIF bị tắt cho tới khi bản sửa của thư viện phía trên được đưa xuống.
Tự kiểm tra
- Chạy
npm ls next sharpvà so phiên bản Next.js với bảng dưới.
Nguồn
- GitHub Advisory Database GHSA-2xp9-vwfh-vxw4
- vercel/next.js GHSA-2xp9-vwfh-vxw4
- strukturag/libheif GHSA-g89c-p67h-r497
Viết lại từ cảnh báo gốc; phiên bản lấy từ GitHub Advisory Database (CC-BY-4.0), cập nhật 29/10/2026. Khi có khác biệt, cảnh báo gốc là chuẩn.