Sicherheitslücken in Next.js und React Server Components geschlossen
Vercel hat ein umfangreiches Set für Next.js veröffentlicht, das mehr als ein Dutzend Schwachstellen adressiert, darunter Denial-of-Service, Middleware-Bypass, Server-Side Request Forgery und Cro
Kurzfassung
Warum das wichtig ist
- Vercel hat ein umfangreiches Set für Next.js veröffentlicht, das mehr als ein Dutzend Schwachstellen adressiert, darunter Denial-of-Service, Middleware-Bypass, Server-Side Request Forgery und Cro
- Die Fehler betreffen Next.js-Versionen von 13.x bis 16.x, die den App Router verwenden, sowie React Server Components-Pakete für Versionen 19.x.
- Ein speziell konstruierter HTTP-Request, der an einen beliebigen App-Router-Server-Funktion-Endpunkt gesendet wird und deserialisiert wird, kann zu übermäßigem CPU-Aufwand führen und in unpatchten Umgebungen Denial-of-Service-Angriffe auslösen.
SvyTech-Check
Redaktionelle Einordnung
Kernpunkt
Vercel hat ein umfangreiches Set für Next.js veröffentlicht, das mehr als ein Dutzend Schwachstellen adressiert, darunter Denial-of-Service, Middleware-Bypass, Server-Side Request Forgery und Cro
Warum relevant
Das Problem liegt in der Deserialisierungslogik des React „Flight"-Protokolls begründet, das strukturelle oder Typenbeschränkungen für eingehende Payloads nicht ausreichend durchsetzt.
Einordnung
SvyTech ordnet die Meldung aus Cyber Security News als Teil des Themenfelds Technologie ein und verweist auf den Originalartikel, damit Leser Fakten, Quelle und Kontext nachvollziehen koennen.
Das Problem liegt in der Deserialisierungslogik des React „Flight"-Protokolls begründet, das strukturelle oder Typenbeschränkungen für eingehende Payloads nicht ausreichend durchsetzt.
Umgehung separate Sicherheitswarnungen (GHSA-267c-6grr-h53f, GHSA-26hh-7cqf-hhc6 und GHSA-492v-c6pp-mqqv) behandeln Schwachstellen zur Umgehung der Middleware in App-Router-Anwendungen.
Speziell konstruierte.rsc- und segment-prefetch-URLs können auf dieselbe Seite auflösen, ohne zu werden, wodurch geschützter Inhalt ohne ordnungsgemäße Autorisierungsprüfungen zugänglich wird.
Einordnung fuer Autofahrer
Die Lösung berücksichtigt nun auch App-Router-Transport-Varianten bei der Generierung, sodass Middleware-Schutzmaßnahmen konsistent auf alle Anforderungsarten – einschließlich Prefetch-Varianten – angewendet werden.
Bis ein Upgrade möglich ist, sollten Entwickler die Autorisierung direkt in der zugrunde liegenden Routen- oder Seitenlogik erzwingen und sich nicht ausschließlich auf die Middleware verlassen.
Quellenprofil
Quelle und redaktionelle Angaben
- Quelle
- Cyber Security News
- Canonical
- https://cybersecuritynews.com/next-js-react-server-vulnerabilities/
- Quell-URL
- https://cybersecuritynews.com/next-js-react-server-vulnerabilities/
Aehnliche Inhalte
Verwandte Themen und interne Verlinkung
Weitere Artikel aus aehnlichen Themenfeldern, damit Leser direkt im selben Kontext weiterlesen koennen.
US-Geheimdienst warnt vor begrenzter russischer Attacke gegen NATO-Mitglied
Nach aktualisierten Einschätzungen der US-Intelligenz könnte Präsident Wladimir Putin zwischen Herbst 2026 und 2029 eine begrenzte Attacke, etwa in Form ällen gegen baltische Staaten oder Polen, verüben, um das NATO-Bündnis zu zerschlagen. Verteidigungsbehörden der USA und der NATO bestreiten hingegen, dass Lieferungen an die Ukraine oder Spannungen im Nahen Osten die militärischen Vorräte des Bündnisses geschwächt haben, und betonen weiterhin ihre volle Einsatzbereitschaft.
07.08.2026
Live Redaktion
