❗️Вслед за PHP следует обновиться и разработчикам React / Next.js / Node.js

Эти технологии активно используются при создании корпоративных сайтов, веб-сервисов и систем. В определённых конфигурациях обнаруженные уязвимости могут позволить злоумышленнику выполнить код на сервере.

В зависимости от системы это может создать риск для данных, доступности сервиса и инфраструктуры компании.

Что рекомендуется сделать?

• Проверить версию Next.js. Для веток 16.x и 15.x исправления выпущены в версиях 16.4.1 и 15.5.28 соответственно.
• Если React Server Components используются отдельно от Next.js, проверить пакеты react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack. Исправленные версии: 19.0.9, 19.1.10, 19.2.9 и 19.3.1.
• Обновить Node.js до исправленной версии своей ветки: 22.23.4, 24.22.1 или 26.12.1.
• Проверить зависимости в контейнерах и CI/CD, затем выполнить тесты и повторно развернуть приложение.
• Если используется версия Node.js с завершившимся сроком поддержки, запланировать переход на поддерживаемую ветку.

Не каждый сайт находится под угрозой, а само наличие уязвимости не означает, что система уже взломана.

Но своевременная проверка и установка исправлений обычно обходятся дешевле, чем устранение последствий успешной атаки.

Источники:
• React — Security Advisory
• Next.js — Security Update
• Node.js — Security Releases