poslední zpráva
SPOJENO PŘES CVE EPSS 0.02
Kritická zranitelnost CVE-2026-75604 v Next.js umožňuje vzdálené spuštění kódu
Vercel opravil kritickou chybu CVE-2026-75604 s CVSS 9.0 typu 'path traversal', která na serverech v systému Windows umožňuje neautentizované vzdálené spuštění kódu při současném použití Pages a App routeru bez Cache Component. Druhá opravená zranitelnost v knihovně libheif umožňuje spuštění kódu přes škodlivý AVIF soubor, přičemž pro obě chyby jsou již dostupné exploity typu PoC.
CVE v události 1
| CVE | hodnocení | KEV | EPSS |
|---|---|---|---|
| CVE-2026-75604 | 9.0 3.1 · GitHub_M | – | 0.02 |
Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.0.
Jak se o tom psalo 4
-
· CSIRT Itálie (ACN) IT
Next.js: k dispozici PoC pro 2 zranitelnosti
Podle CSIRT Itálie jsou k dispozici proof-of-concept kódy pro zneužití dvou zranitelností v Next.js, které jsou již opraveny výrobcem. Jde o framework JavaScript pro tvorbu webových aplikací.
-
· zachyceno · NCSC-FI FI
Srpnová bezpečnostní aktualizace Next.js
NCSC-FI publikoval kritické bezpečnostní upozornění na dva problémy v Next.js. První spočívá v neověřené vzdálené spuštění kódu v rozhraní Image Optimization API při zpracování AVIF obrázků kontrolovaných útočníkem, který vzniká v knihovně libheif používané knihovnou sharp; patched verze tuto optimalizaci vypínají. Druhý problém se týká Windows serverů s použitím Pages Router a App Router bez Cache Components.
originál: August 2026 Security Release for Next.js
-
· DNSC Rumunsko RO
Upozornění: Kritické zranitelnosti v Next.js
Rumunský DNSC oznámil kritickou zranitelnost CVE-2026-75604 typu path traversal (CWE-22) v Next.js.
-
· NCSC-NL NL
Zranitelnosti opraveny v Next.js
Zdroj uvádí, že Vercel opravil dvě zranitelnosti v Next.js. První, s identifikátorem CVE-2026-75604, umožňuje útočníkům provádět libovolný kód na serverech Next.js aplikací běžících na Windows se zapnutou Pages a App routinou bez Cache Component. Druhá zranitelnost umožňuje spuštění libovolného kódu prostřednictvím škodlivého mediálního souboru a zatím nemá přiřazen identifikátor CVE.
originál: NCSC-2026-0329 [1.00] [H/M] Kwetsbaarheden verholpen in Next.js
Nadpis a shrnutí nahoře složeny strojově ze 4 zpráv (gemini-3.8-flash) za 0,0022 USD.
Překlady 4 zpráv v časové ose generovány strojově za 0,0091 USD.