Tag
#deserialization
GHSA-673q-mjm6-r5xr : RCE sans authentification dans les fonctions « use cache » de Next.js
GHSA-673q-mjm6-r5xr est classée critique, CVSS v4.0 9.5, dans la GitHub Advisory Database : un attaquant non authentifié peut exécuter du code sur un serveur Next.js 16 utilisant App Router avec Cache Components et une fonction use cache renvoyant plusieurs tableaux typés. L’examen de la base classe la faille comme une désérialisation de données non fiables (CWE-502) dans le protocole de transport React Server Components embarqué par Next.js. Corrigé dans Next.js 16.4.1, sans solution de contournement disponible.
23 octobre 2026