Security Advisory: CVE-2025-66478

Vercel · 2025 · 3. Quy mô lớn · Độ khó: Dễ — bài gốc

Vercel vừa làm framework Next.js vừa bán nền tảng chạy nó; nhận định về sản phẩm của họ trong trang này đều là "theo Vercel". Đây là advisory, không phải postmortem; không nêu cơ chế khai thác.

Thay đổi chính

• Lỗ hổng: CVSS 10.0 ở giao thức React Server Components (gốc ở React, CVE-2025-55182): request tạo sẵn gây thực thi mã từ xa trên App Router.
• Phạm vi: App Router 15.x, 16.x và 14.3 canary; Pages Router, Edge Runtime, 13.x, 14.x stable không bị ảnh hưởng.
• Khắc phục: vá theo nhánh, không có workaround; app chưa vá và online tới 13:00 PT ngày 4/12/2025 nên xoay mọi secret (cập nhật 6/12).

Bài học cho SWE

• Giao thức nội bộ client-server của framework là attack surface như API công khai.
• Sau RCE, vá chưa đủ: xoay secret của app từng online khi chưa vá.

Liên quan

• Vercel 2023 · Trigger.dev 2026
• Bảo mật hạ tầng và quản lý secret · Incident và postmortem