در روزهای اخیر، یک باگ امینتی بسیار مخرب در NextJS کشف شده که در یکی از پکیج های مورد استفاده در این فریمورک محبوب یافت شده است. آسیبی که بسیار مخرب است و به مهاجم امکان اجرای هرگونه کد را به صورت ریموت، روی سرور قربانی می دهد!
ماجرا از این قرار است که این حفره امنیتی، در پکیج React Server Component وجود داشته و فریمورک NextJS که از این پکیج برای اجرای سرور و باز کردن پورت مربوطه در سیستم استفاده میکند، این باگ را نیز در خود جای داده بود.
سپس در روز سه دسامبر 2025، یک کاربر در سایت Github به وجود این حفره امنیتی پی میبرد، و وبسایت رسمی NextJS نیز در قالب یک مقاله به این موضوع اشاره کرده و به تمام کاربران تأکید میکند که ورژنهای دارای آسیب را سریعا به روز رسانی کنند.لینک مقاله
پس از انتشار مقاله و کشف این آسیب که درجه CVSS 10.0 را به خود اختصاص داده (شدیدترین درجه آسیب پذیری)، هکرهای بسیاری اقدام به بررسی و اسکن وبسایت ها برای پیدا کردن وبسایت های آسیب پذیر کردند، و بسیاری از آنها اقدام به بارگذاری کدهای ماینر از طریق این باگ، روی سرورهای قربانی کرده اند!
پیشنهاد میکنیم در صورتی که شما نیز از یکی از این ورژن های NextJS استفاده میکنید، در سریع ترین زمان ممکن آن را به روز رسانی کنید:
- 15.0.5
- 15.1.9
- 15.2.6
- 15.3.6
- 15.4.8
- 15.5.7
- 16.0.7
