Security · 28.8.2026
Zwei kritische Schwachstellen im JavaScript-Framework Next.js ermöglichen Angreifern die Remotecodeausführung auf Windows-Systemen. Updates stehen bereit.
Der Entwickler Vercel hat zwei kritische Sicherheitslücken im beliebten JavaScript-Framework Next.js geschlossen. Die Schwachstellen ermöglichen es Angreifern unter bestimmten Bedingungen, Schadcode aus der Ferne auf Windows-Systemen auszuführen. Betroffen sind vor allem Entwicklungsumgebungen und Server, die auf Windows-Basis betrieben werden und entsprechende Anwendungen hosten.
Next.js ist eines der am häufigsten genutzten Web-Frameworks für React-Anwendungen und wird auch in vielen DACH-Unternehmen für moderne Webauftritte und interne Tools eingesetzt. Die Schwachstellen mit den Kennungen CVE-2024-51008 und CVE-2024-51009 betreffen die Pfad-Bereinigung unter Windows-Betriebssystemen. Angreifer können diese Schwächen ausnutzen, um die Verzeichnisstruktur zu manipulieren (Path Traversal) und beliebige Befehle mit den Rechten des Webservers oder des Entwicklers auszuführen. Da viele Administratoren und Entwickler im B2B-Umfeld Windows-Arbeitsstationen oder Windows-Server nutzen, besteht hier ein direktes Angriffsrisiko für sensible Unternehmensnetzwerke.
IT-Verantwortliche, Administratoren und Entwickler sollten umgehend die installierten Next.js-Versionen in allen aktiven Projekten überprüfen. Vercel hat die Fehler in den aktuellen Versionen behoben. Ein Update auf die Versionen 15.0.3, 14.2.18 oder 13.5.7 (je nach genutztem Hauptzweig) schließt die Sicherheitslücken effektiv. Falls ein sofortiges Einspielen der Patches nicht möglich ist, sollte der Zugriff auf Entwicklungsumgebungen restriktiv über Firewalls beschränkt und keinesfalls öffentlich ins Internet freigegeben werden. Zudem empfiehlt es sich generell, die Ausführungsrechte von Node.js-Prozessen auf Windows-Systemen auf das absolute Minimum zu reduzieren.
Diese Schwachstellen zeigen erneut, dass auch moderne Web-Frameworks spezifische Risiken für die darunterliegende Betriebssystem-Infrastruktur mit sich bringen können. Ein schnelles Patch-Management und eine restriktive Rechteverwaltung auf Windows-Systemen sind unerlässlich, um die IT-Sicherheit im Unternehmen dauerhaft zu gewährleisten.
Quelle: heise Security