في عالم تطوير البرمجيات، تعتبر الثغرات الأمنية تهديدًا دائمًا. مؤخرًا، أصدرت Vercel تحديثات أمان هامة لإطار عمل Next.js، حيث تعالج ثغرات حرجة قد تؤثر على أمان التطبيقات. في هذا المقال، سنتناول تفاصيل هذه الثغرات والإصلاحات المتاحة.
إصلاحات حرجة في Next.js تعالج ثغرات AVIF ونظام ويندوز
أصدرت Vercel تحديثات أمان لثغرتين ذات خطورة عالية في إطار عمل Next.js، حيث تسمح كل منهما بتنفيذ تعليمات برمجية عن بُعد بدون مصادقة. واحدة من هذه الثغرات يمكن استغلالها عبر ملفات صور AVIF مصممة خصيصًا، والأخرى تتعلق بعيب في التنقل عبر المسارات يؤثر على الخوادم التي تستخدم نظام ملفات ويندوز.
تتعلق ثغرة التنقل عبر المسارات في ويندوز، المُسجلة كـ CVE-2026-75604 (درجة CVSS: 9.0)، بتطبيقات Next.js التي تستخدم كل من Pages Router وApp Router بدون مكونات التخزين المؤقت عندما يكون الخادم يعمل على نظام ملفات ويندوز.
تطبيقات لينكس وماك أو إس ليست متأثرة.
“لا يوجد حل بديل معروف للتطبيقات المتأثرة المستضافة على ويندوز. يجب عليك التحديث على الفور إذا كان خادمك مستضاف على ويندوز،” قالت Vercel في نصائحها.
التحديثات متاحة في Next.js 15.5.24 (Maintenance LTS) و16.3.3 (Active LTS)، والتي تم نشرها في 25 أغسطس 2026. يمكن للمستخدمين المتأثرين التحديث عبر الأمر
npm install [email protected]لخط 15.5 أو
npm install [email protected]لخط 16.3.
التطبيقات المستضافة على Vercel محمية من كلا الثغرتين ولا تحتاج إلى تحديث، كما ذكرت Vercel في سجل التغييرات الخاص بها المنشور في 25 أغسطس.
تؤثر الثغرة على إصدارات Next.js من 13.4 إلى 15.5.23 ومن 16.0 إلى 16.3.2.
لم يتم الكشف عن آلية الهجوم في النصيحة. كما أشار سجل تغييرات Vercel إلى الباحثين evolutionstorm وB0RI لتقديمهم الإبلاغ المسؤول عن ثغرة ويندوز.
عيب تحسين صورة AVIF
تستخدم Next.js حزمة معالجة الصور sharp لتحسين الصور، وتعتمد sharp على مكتبة libheif C لتحليل ملفات AVIF.
يمكن أن يؤدي عيب حرج في تخزين المؤقت في libheif إلى تنفيذ تعليمات برمجية عن بُعد عندما تعالج Next.js صورة AVIF يتحكم فيها المهاجم (GHSA-2xp9-vwfh-vxw4، CVSS v4: 9.5).
تتعلق الثغرة الأساسية، التي كشف عنها القائمون على libheif كـ GHSA-g89c-p67h-r497، بتخزين مؤقت في كود توسيع الصور في المكتبة.
جميع إصدارات libheif حتى v1.23.1 متأثرة. تغطي نصيحة AVIF إصدارات Next.js من 10.0.0 إلى 15.5.23 وجميع إصدارات 16.x حتى 16.3.2.
يتسبب ملف AVIF مصمم بشكل خاص يحتوي على مراجع هوية متداخلة وعناصر مساعدة في جعل libheif يبني صورة مفككة تحتوي على مدخلات Alpha بطبقات مختلفة من عمق البت.
تخصص المقياس ذاكرة مؤقتة بحجم المدخل الأول، 8-بت Alpha، ولكنه يكتب قيم عينات 16-بت من المدخل الثاني في نفس الذاكرة المؤقتة، مما يتجاوز حدود التخصيص بحوالي 16,384 بايت.
أصدر الباحثون المعتمدون في النصيحة، rootxharsh كالباحث وKarimPwnz كمنسق، دليلاً كاملاً بلغة بايثون يوضح كيفية إعادة إنتاج الفساد في الذاكرة تحت بناء الماسح الضوئي للعناوين.
نصحت نصيحة libheif rootxharsh كالباحث وKarimPwnz كمنسق، لكن سجل تغييرات Vercel نسب الكشف إلى فريق Hacktron.
“تمكنا من الحصول على RCE باستخدام هذا على تطبيقات متعددة،” قال الباحثون في نصيحة libheif.
تظهر إثبات المفهوم الكتابة خارج الحدود، ولم يتم تأكيد ادعاء الباحثين بتنفيذ التعليمات البرمجية عن بُعد على تطبيقات متعددة بشكل مستقل.
تتيح Next.js تحسين AVIF فقط عندما يضيف الموقع صراحة image/avif إلى تكوين التنسيقات في next.config.js. التطبيقات التي لا تحتوي على هذا التكوين ليست معرضة لهذه الثغرة.
توقف تحديثات Next.js عن تحسين AVIF تمامًا حتى يتم نقل الإصلاح من libheif. أكدت Hacker News في 27 أغسطس 2026، عبر صفحة إصدارات libheif على GitHub، أن v1.23.2 لم يتم نشره بعد.
كانت Vercel قد جدولت تحديثات أغسطس ليوم 26 أغسطس كجزء من جدول أمانها الشهري، لكنها قدمت الإصدار يومًا واحدًا بعد اكتشاف ثغرة ذات خطورة عالية إضافية في أحد تبعياتها.
“في وقت سابق اليوم، قدمنا الإصدار بعد تحديد ثغرة إضافية ذات خطورة عالية في أحد تبعياتنا،” قال جوش ستوري، وكريم رحال، وسيباستيان سيلبرمان في منشور مدونة أمان Vercel.
يعتبر إصدار أغسطس هو الثاني في إطار برنامج الأمان الشهري الرسمي لشركة Vercel، الذي أعلنت عنه الشركة في يوليو 2026.
“يزداد حجم أبحاث الثغرات في الصناعة بسرعة، مدفوعًا باكتشافات مدعومة من LLM،” قال أندرو إيم وجوش ستوري في إعلان البرنامج بتاريخ 13 يوليو.
تضمن الإصدار الأول المجدول، الذي نشر في 21 يوليو، معالجة تسع ثغرات في Next.js 16.2.11 و15.5.21، تغطي فئات مثل الحرمان من الخدمة، وتزوير الطلبات من جهة الخادم، وتجاوز الوسائط.
لا يزال يتعين على المستخدمين الذين يستخدمون تحديثات يوليو تلك التحديث في أغسطس.
شهدت Next.js سلسلة من الإعلانات الأمنية الحرجة على مدار العامين الماضيين، بما في ذلك ثغرة تجاوز الوسائط الحرجة في مارس 2025 التي سمحت للمهاجمين غير المصرح لهم بتخطي فحوصات التفويض في النشر الذاتي.
حملت ثغرة تسلسل React2Shell في مكونات خادم React، التي تم الكشف عنها في ديسمبر 2025، درجة CVSS قدرها 10.0 وتم استغلالها بنشاط خلال ساعات من الكشف العام.
لم يتم الإبلاغ عن أي استغلال لأي من ثغرات أغسطس حتى 27 أغسطس 2026. تواصلت Hacker News مع Vercel للحصول على تعليق ولم تتلق ردًا بحلول وقت النشر.
مع تزايد التهديدات الأمنية، من الضروري أن تبقى على اطلاع دائم بتحديثات الأمان. تأكد من تحديث تطبيقاتك إلى أحدث الإصدارات لحماية بياناتك ومستخدميك. تابعنا لمزيد من المعلومات حول الأمان في تطوير البرمجيات.
