Закрываем свежие уязвимости в ReactServer Components и Next.js

Делимся нашими рекомендациями.

Сегодня Meta* и Vercel раскрыли две уязвимости с риском удаленного выполнения кода. Используя их, злоумышленники могут получить доступ к серверу.

Уязвимости были найдены в фреймворке React Server Components (RSC), который ускоряет работы приложений на React благодаря тому, что переносит часть логики на сервер:

А также в Next.js — фреймворке для веб‑разработки, основанном на React:

Специалисты по безопасности Yandex Cloud поделились рекомендациями, что можно сделать, чтобы обезопасить свои приложения:

  1. Всем — обновить React до версии 19.2.1, Next.js — до версий 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7.
  2. Пользователям Yandex Smart Web Security — в WAF уже есть правило yars-v0.1.0-id8080234-attack-rce, которое защищает наших клиентов от уязвимости. Активируйте его.
  3. Защита от CVE также появилась в on-premises SolidWall, а обнаружение — в SolidPoint.

Компоненты Yandex Cloud запатчены, поэтому дополнительно делать ничего не нужно.

Если вам нужна дополнительная информация, пожалуйста, напишите на cloudtrust@yandex-team.ru.

Следим за рисками, отражаем атаки, делимся решениями. Всё о безопасности облачной инфраструктуры — практика, кейсы и инсайты от команды Yandex Cloud, которая защищает её каждый день.

*Meta признана экстремистской организацией и запрещена в РФ.

author
Команда Yandex Cloud
Закрываем свежие уязвимости в ReactServer Components и Next.js
Войдите, чтобы сохранить пост