CVE-2025-48068

إصدارات Next.js من 13.0.0 حتى 13.3.x

إصدارات Next.js 13.4 والإصدارات الأقدم التي تحتوي على experimental.appDir = true

إصدارات Next.js الأقدم من 15.2.2

تشبه هذه المشكلة ثغرة أمنية معروفة سابقًا. عند تشغيل خادم Next.js محليًّا، يكون خادم WebSocket عرضة لهجمات اختطاف WebSocket بين المواقع (CSWSH). إذا زار مستخدم رابطًا ضارًا أثناء تشغيل خادم Next.js للتطوير، فيمكن للمهاجم الوصول إلى شفرة المصدر لمكونات العميل. ويؤثر ذلك على التطبيقات التي تستخدم App Router، الذي كان تجريبيًا في الإصدارات من 13.0.0 إلى 13.3.x. تتيح هذه الثغرة الأمنية للمهاجم التجسس على أنشطة التطوير وسرقة شفرة المصدر.

بالنسبة لإصدارات Next.js من 13.0.0 حتى 13.3.x، قم بالتحديث إلى الإصدار 15.2.2 أو أحدث لإصلاح المشكلة.

بالنسبة لإصدارات Next.js 13.4 والإصدارات الأقدم التي تحتوي على experimental.appDir = true، قم بالتحديث إلى الإصدار 15.2.2 أو أحدث لإصلاح المشكلة.

بالنسبة لإصدارات Next.js الأقدم من 15.2.2، قم بالتحديث إلى الإصدار 15.2.2 أو أحدث لإصلاح المشكلة.

كحل بديل مؤقت، ضع في اعتبارك تعطيل خادم next dev عندما لا يكون قيد الاستخدام لتقليل مخاطر الاستغلال.