nextjs.vnEnglish

Tất cả lỗ hổng

Thực thi mã từ xa qua hàm use cache trả về typed array

Nghiêm trọng CVSS 9.5 · Công bố 22/10/2026 · GHSA-673q-mjm6-r5xr

Tiêu đề gốc: Next.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays

Chuyện gì xảy ra

Ứng dụng App Router bật Cache Components có thể bị chạy mã từ xa mà không cần đăng nhập, nếu có một hàm use cache trả về nhiều typed array (ví dụ Uint8Array). Lỗi thuộc nhóm giải tuần tự hoá dữ liệu không tin cậy (CWE-502).

Ai bị ảnh hưởng

  • Next.js 16 dùng App Router và Cache Components, có hàm use cache trả về nhiều typed array.

Bản bị ảnh hưởng và bản vá

Bản bị ảnh hưởngBản vá
>= 16.0.0, <= 16.4.016.4.1

Cách xử lý

  • Không có cách tạm thời nào. Cảnh báo khuyên nâng cấp ngay, kể cả khi ứng dụng của bạn không có hàm như vậy.

Tự kiểm tra

  • Tìm chỉ thị trong mã: grep -rn "use cache" app src.
  • Chạy npm ls next và so với bảng dưới.

Nguồn

Viết lại từ cảnh báo gốc; phiên bản lấy từ GitHub Advisory Database (CC-BY-4.0), cập nhật 29/10/2026. Khi có khác biệt, cảnh báo gốc là chuẩn.