- Cosa può fare
- Un attaccante invia una richiesta web costruita ad arte al sito o al portale e ottiene di eseguire comandi sul server, come se fosse un amministratore dell'applicazione. Non serve alcun login e l'applicazione può essere vulnerabile anche se gli sviluppatori non hanno usato direttamente le funzioni coinvolte.
- Cosa mette in pericolo
- Siti aziendali, e-commerce, portali clienti e gestionali web sviluppati con Next.js o React moderno; dati di clienti e ordini, credenziali e chiavi di accesso a database e servizi cloud salvate sul server.
- Chi è colpito
- Pacchetti react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack versioni 19.0, 19.1.0, 19.1.1 e 19.2.0; framework che li includono, in particolare Next.js (App Router), React Router (API RSC), Waku, @parcel/rsc, @vitejs/plugin-rsc, rwsdk
Cosa fare
- Chiedere al proprio sviluppatore o fornitore web se il sito usa Next.js o React Server Components
- Aggiornare i pacchetti React RSC alle versioni corrette 19.0.1, 19.1.2 o 19.2.1 (o successive)
- Aggiornare Next.js alla release corretta per il proprio ramo, secondo l'advisory ufficiale di Next.js
- Non affidarsi solo alle protezioni temporanee del provider di hosting: l'aggiornamento resta necessario
- Dopo l'aggiornamento, cambiare le chiavi e i segreti (API, database) presenti sul server se c'è il sospetto che sia stato esposto