Was ist passiert?
Vercel hat kritische Sicherheitsupdates für das Next.js Web-Framework veröffentlicht. Zwei Schwachstellen mit kritischer Schweregrad ermöglichen unauthentifizierten Remote Code Execution (RCE): Eine über manipulierte AVIF-Bilddateien und eine zweite durch Path Traversal auf Windows-Servern (CVE-2026-75604). Beide Lücken erfordern keine Authentifizierung und stellen damit erhebliche Risiken dar.
Hintergrund & Bedeutung
Next.js ist eines der beliebtesten React-Frameworks für produktive Web-Anwendungen. Die AVIF-Schwachstelle nutzt fehlerhafte Validierung bei der Bildverarbeitung aus. Die Windows-spezifische Path Traversal-Lücke ermöglicht Angreifern, durch manipulierte Pfade auf sensible Dateien zuzugreifen. Besonders kritisch: Die Anfälligkeit betrifft unauthentifizierte Benutzer, was die Angriffsfläche massiv vergrößert. Unternehmen mit Next.js-Deployments sind sofort gefährdet.
Empfehlungen für IT-Teams
Sofortmaßnahmen:
- Next.js-Versionen sofort auf die neuesten gepatchten Versionen aktualisieren
- Produktionsumgebungen prioritär absichern, besonders Windows-basierte Systeme
- Logs auf verdächtige AVIF-Upload-Aktivitäten und ungewöhnliche Dateizugriffe prüfen
- Web Application Firewalls (WAF) aktivieren und Regeln für verdächtige Pfade konfigurieren
- Inventory durchführen: Alle Next.js-Instanzen identifizieren und dokumentieren
Fazit
Diese kritischen Schwachstellen erfordern unverzügliches Handeln. IT-Sicherheitsteams sollten Patches prioritär einspielen und ihre Systeme auf bereits stattgefundene Ausnutzungen überwachen.
Quelle: Original Artikel