ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

React-Server-Components

ภาพรวมแท็กนี้

2 ข่าว

Next.js ออกแพตช์ฉุกเฉินแก้ 2 ช่องโหว่รันโค้ดระดับ critical คะแนน 9.5 ใน use cache ของ React Server Components และ librsvg ที่ใช้ประมวลผล SVG ผ่าน sharp พร้อมช่องโหว่ DoS ใน Server Actions

Next.js ships out-of-band patch for two critical remote code execution flaws
Next.js ออกแพตช์นอกรอบเมื่อ 14 ต.ค. 2569 แก้ 2 ช่องโหว่รันโค้ดโดยไม่ต้องยืนยันตัวตนระดับ critical คะแนน 9.5 และช่องโหว่ DoS ระดับสูงอีก 1 รายการ ตัวแรกอยู่ใน React Server Components กระทบแอป Next.js 16 ที่เปิด Cache Components ตัวที่สองคือ CVE-2026-96889 ใน librsvg ที่ Next.js ใช้ผ่านแพ็กเกจ sharp เพื่อจัดการภาพ SVG บน Linux แบบ glibc แก้ไขแล้วในเวอร์ชัน 16.4.1 และ 15.5.28 แต่สาย 15 อาจยังค้าง sharp เวอร์ชันเก่าที่มีช่องโหว่ และสองช่องโหว่ยังไม่มี CVE ทำให้ npm audit ไม่เตือน
ที่มา: The Hacker News
อ่านต่อ →

ช่องโหว่ CVE-2026-23870 ใน React Server Components — คำขอ POST เดียวขนาดราว 900 KB ทำให้เซิร์ฟเวอร์ Next.js ค้างหลายวินาที ก่อนถึงขั้นตรวจสิทธิ์ของ Server Action

A single crafted POST request freezes a Next.js server through a React Server Components parsing flaw
ช่องโหว่ CVE-2026-23870 (CVSS 7.5) ใน React Server Components ทำให้ผู้โจมตีส่งคำขอ multipart POST ที่มีการอ้างอิง $K จำนวนมาก บังคับเซิร์ฟเวอร์เปรียบเทียบสตริงแบบกำลังสองจนเธรด event loop ของ Node.js ค้าง คำขอขนาดราว 900 KB สร้างการตรวจราว 100 ล้านครั้ง การแยกข้อมูลเกิดก่อนการตรวจสิทธิ์ของ Server Action จึงอาจไม่ต้องล็อกอิน กระทบ React 19.0 ถึง 19.2 ที่ใช้ใน Next.js แก้แล้วในเวอร์ชัน 19.0.6, 19.1.7 และ 19.2.6
ที่มา: GBHackers
อ่านต่อ →