Tim Neutkens

يوجد عيب يتمثل في عدم تطبيق إصلاح أمني سابق بشكل صحيح على ملف `middleware.ts` عند استخدامه بالاقتران مع Turbopack، وهو أداة تجميع تزايدي عالية الأداء لـ JavaScript و TypeScript.

التطبيقات ذاتية الاستضافة التي تستخدم خادم Node.js المدمج معرضة لخطر تزوير الطلبات من جانب الخادم (SSRF)، وهي حالة يُجبر فيها المهاجم الخادم على إرسال طلبات إلى موقع غير مقصود. يمكن للمهاجمين عن بُعد غير المصادق عليهم استخدام طلبات HTTP مصاغة بشكل مطلق تحتوي على رؤوس `Upgrade: websocket` لإجبار الخادم على توجيه الطلبات كوكيل إلى وجهات داخلية أو خارجية عشوائية. قد يؤدي ذلك إلى كشف الخدمات الداخلية ولوحات الإدارة وواجهات برمجة التطبيقات (API) الخاصة ونقاط نهاية البيانات الوصفية السحابية (مثل 169.254.169.254)، مما قد يؤدي إلى سرقة بيانات اعتماد الخدمات السحابية ومفاتيح واجهة برمجة التطبيقات (API) والأسرار. يُقدَّر أن حوالي 79,000 مثيل معرض للخطر على Shodan. لا تتأثر عمليات النشر المستضافة على Vercel بهذه الثغرة.

قد تسمح تطبيقات App Router التي تستخدم برامج وسيطة أو عمليات التحقق من التفويض القائمة على البروكسي بالوصول غير المصرح به عبر متغيرات المسار الخاصة بنوع النقل والمستخدمة لجلب المقاطع مسبقًا. يمكن أن تؤدي عناوين URL لملفات `.rsc` وعناوين URL الخاصة بالجلب المسبق للمقاطع المصممة خصيصًا إلى نفس الصفحة دون تشغيل قاعدة البرمجيات الوسيطة المقصودة، مما يتيح الوصول إلى المحتوى المحمي دون إجراء عمليات التحقق من التفويض.

التطبيقات التي تستخدم «العرض المسبق الجزئي» (Partial Prerendering) عبر ميزة «مكونات ذاكرة التخزين المؤقت» (Cache Components) معرضة لمشكلة استنفاد الاتصالات. يمكن لطلب POST مُصمم خصيصًا موجه إلى إجراء خادم أن يتسبب في حدوث حالة تعطل في معالجة نص الطلب. تؤدي هذه الحالة إلى بقاء الاتصالات مفتوحة لفترة طويلة، مما يستهلك واصفات الملفات وسعة الخادم، وقد يؤدي ذلك إلى حرمان المستخدمين الشرعيين من الخدمة.