KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-66478 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Next.js 是基于 React 的开源 Web 框架，用于构建 SSR、静态站点与混合渲染应用。在受影响版本中，Next.js App Router 将来自客户端的 RSC 序列化数据时，由于 RSC 在处理 ReplyFlightStream 的反序列化数据时，攻击者可构造恶意请求，最终导致未授权代码执行。
受影响版本
14.3.0-canary.77 <= Next < 15.0.5
15.1.0 <= Next < 15.1.9
15.2.0 <= Next < 15.2.6
15.3.0 <= Next < 15.3.6
15.4.0 <= Next < 15.4.8
15.5.0 <= Next < 15.5.7
16.0.0 <= Next < 16.0.7
安全版本
Next v16.0.7
Next v15.5.7
Next v15.4.8
Next v15.3.6
Next v15.2.6
Next v15.1.9
Next v15.0.5
其余 14.x 稳定版本 或者 14.3.0-canary.76版本，或更低版本不受影响
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
1、若使用版本在受影响范围内，建议升级至最新版本
2、针对外网Next.js Web服务场景，云安全中心支持针对该漏洞进行应用漏洞与应急漏洞网络POC扫描检测。
3、针对主机侧Node运行时进程场景，云安全中心支持针对该漏洞进行应用漏洞与应急漏洞版本比对检测。
4、针对主机侧全量组件依赖以及容器镜像场景，云安全中心无代理检测应用漏洞以及镜像安全扫描已支持针对该漏洞进行版本比对检测。
参考信息
https://avd.aliyun.com/detail/AVD-2025-66478
https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。