脆弱性
Next.js の画像最適化 API において、SVG ファイルが使用された際に、依存するアップストリームライブラリのメモリ関連の脆弱性に起因する認証不要の遠隔コード実行（RCE）が発生するおそれがある。本脆弱性は、glibc ベースの Linux 環境で Next.js が動作している場合に影響を及ぼし、信頼できない画像ファイルを処理する際に重大なリスクとなる。
なぜご自身の組織で確認すべきか「Next.js」において画像処理に起因する未認証のリモートコード実行脆弱性が公表されているため、自組織で運用するWebアプリケーションのパッケージ更新が必要なため。
影響
攻撃者によって遠隔からコードが実行され、システムが乗っ取られたり任意のコマンドが実行されたりするおそれがある。
対応策
npm パッケージ next をバージョン 15.5.28 以降、または 16.4.1 以降にアップグレードすること。また、Next.js が使用する sharp のバージョンを 0.35.5 以降に確保すること。
