Vercel News
·
CVE-2025-55173
💡
原文英文，约200词，阅读约需1分钟。
📝
内容提要
Next.js 图像优化存在漏洞，影响 v15.4.5 和 v14.2.31 之前的版本。攻击者可利用外部图像服务器下载恶意文件。2025年7月29日发布的补丁修复了此问题，确保仅在确认内容为图像时缓存响应。
🎯
关键要点
- Next.js 图像优化存在漏洞，影响 v15.4.5 和 v14.2.31 之前的版本。
- 攻击者可利用外部图像服务器下载恶意文件。
- 2025年7月29日发布的补丁修复了此问题，确保仅在确认内容为图像时缓存响应。
- 在特定配置下，恶意行为者可以触发下载攻击者控制的文件。
- 此漏洞可能被用于网络钓鱼、驱动下载或社交工程场景。
- 解决方案更新了图像优化逻辑，避免错误使用缓存键。
❓
延伸问答
CVE-2025-55173漏洞影响了哪些Next.js版本？
该漏洞影响了v15.4.5和v14.2.31之前的版本。
攻击者如何利用Next.js图像优化漏洞？
攻击者可以利用外部图像服务器下载恶意文件，触发下载攻击者控制的文件。
2025年7月29日发布的补丁解决了什么问题？
补丁更新了图像优化逻辑，确保仅在确认内容为图像时缓存响应，避免错误使用缓存键。
此漏洞可能被用于哪些恶意活动？
此漏洞可能被用于网络钓鱼、驱动下载或社交工程场景。
如何防止Next.js图像优化漏洞的利用？
确保目标应用没有配置外部图像域或模式，并避免用户点击可疑链接。
CVE-2025-55173漏洞的修复逻辑是什么？
修复逻辑避免在魔法数字检测失败时回退到上游的Content-Type头，确保仅在确认是图像内容时缓存响应。
➡️
