حفره‌های امنیتی خطرناک در Next.js وNode.js؛ نسخه‌های اصلاح‌شده منتشر شد
توسعه‌دهندگان Next.js و Node.js پس از شناسایی چند نقص امنیتی، نسخه‌های اصلاح‌شده این دو فناوری را منتشر کرده‌اند. بعضی از این نقص‌ها ممکن است به مهاجمان اجازه دهند بدون ورود به حساب کاربری، فرمان‌هایی را روی سرور یک وب‌سایت اجرا کنند.
نقص دوم Next.js به شیوه ذخیره موقت اطلاعات در بعضی برنامه‌ها مربوط می‌شود. این نقص فقط در شرایط مشخصی در نسخه ۱۶ ایجاد خطر می‌کند، اما توسعه‌دهندگان توصیه کرده‌اند کاربران این نسخه حتی اگر از قابلیت مربوط استفاده نمی‌کنند، آن را به‌روزرسانی کنند.
در کنار این دو مورد، نقص دیگری در Next.js شناسایی شده که می‌تواند باعث مصرف بیش از حد توان پردازشی و از دسترس خارج شدن موقت وب‌سایت شود.
چند روز بعد، پروژه Node.js نیز در ۲۹ مهر ۱۴۰۵ از رفع یک حفره امنیتی با درجه خطر بالا خبر داد. این مشکل به بخشی مربوط می‌شود که داده‌های فشرده‌شده را باز می‌کند. اگر برنامه در شرایط مشخص داده آلوده‌ای را دریافت و باز کند، امکان اجرای کد غیرمجاز وجود دارد.
شرکت امنیت سایبری Imperva روز ۳۰ مهر ۱۴۰۵ اعلام کرد که توانسته در یک آزمایش کنترل‌شده از نقص Node.js برای اجرای کد استفاده کند. به گفته این شرکت، همان داده مخرب در نسخه اصلاح‌شده دیگر به اجرای کد منجر نشده است. این آزمایش نشان‌دهنده امکان سواستفاده است، نه اثبات حمله به وب‌سایت‌های واقعی.
برای رفع نقص‌های اعلام‌شده، نسخه‌های ۱۵.۵.۲۸ و ۱۶.۴.۱ از Next.js و نسخه‌های ۲۲.۲۳.۴، ۲۴.۲۲.۱ و ۲۶.۱۲.۱ از Node.js منتشر شده‌اند. مدیران فنی باید نسخه‌های نصب‌شده روی سرورها و محیط‌های اجرا را بررسی کنند و در صورت آسیب‌پذیر بودن، نسخه اصلاح‌شده را نصب کنند.
این به‌روزرسانی‌ها به‌صورت خودکار روی همه وب‌سایت‌ها اعمال نمی‌شوند. مدیران سرورها باید نسخه‌های آسیب‌پذیر را جایگزین کنند و سرویس‌های خود را دوباره راه‌اندازی کنند.
