Next.js Security Update: December 11, 2025
Bài tóm tắt Vercel 2025 3. Quy mô lớn Độ khó: Dễ
Vercel · 2025 · 3. Quy mô lớn · Độ khó: Dễ — bài gốc
Advisory của Vercel, cố ý giấu chi tiết kỹ thuật; ra tám ngày sau Vercel 2025. Nhận định là theo Vercel.
Thay đổi chính
- Soi bản vá React2Shell, nhà nghiên cứu tìm thêm hai lỗi ở giao thức RSC (gốc ở React), chỉ ở App Router, không lỗi nào cho thực thi mã.
- DoS (cao): request tạo sẵn gây vòng lặp vô hạn, treo tiến trình.
- Lộ mã (trung bình): một Server Function trả về mã đã biên dịch của hàm khác; secret viết thẳng trong code có thể bị inline vào đó.
- Không có workaround, phải nâng bản vá.
Bài học cho SWE
- Bản vá lớn kéo người soi cùng bề mặt; secret nên đọc lúc chạy thay vì để trong code.
Liên quan
#Next.js#React Server Components#CVE-2025-55184#CVE-2025-55183#denial of service#source code exposure#Server Functions#React2Shell#patch
Được nhắc tới trong
Chủ đề (1)
Công ty (1)