⚠️ ช่องโหว่ Next.js ระดับวิกฤติ นักพัฒนาที่ใช้ Next.js ร่วมกับ React Server Components (RSC) กำลังเผชิญสถานการณ์อันตราย เนื่องจากมีการค้นพบช่องโหว่ที่เปิดโอกาสให้ผู้โจมตีสามารถส่งคำสั่งไปประมวลผลบนเซิร์ฟเวอร์โดยตรง ช่องโหว่นี้ถูกจัดอยู่ในระดับ CVSS 10.0 ซึ่งเป็นคะแนนสูงสุด หมายถึงความเสี่ยงต่อการถูกยึดครองระบบทั้งหมด 🧩 สาเหตุของปัญหา ปัญหานี้เกิดจากการที่ RSC Protocol ไม่ได้ตรวจสอบข้อมูลที่ส่งเข้ามาอย่างเข้มงวด ทำให้ผู้โจมตีสามารถสร้างคำขอที่บังคับให้เซิร์ฟเวอร์ทำงานตามเส้นทางที่ไม่ได้ตั้งใจไว้ ส่งผลให้เกิดการ Remote Code Execution (RCE) โดยตรง ซึ่งถือเป็นหนึ่งในช่องโหว่ที่อันตรายที่สุดในโลกเว็บแอปพลิเคชัน 🔎 เวอร์ชันที่ได้รับผลกระทบ 🐞 Next.js 15.x และ 16.x 🐞 Next.js 14.3.0-canary.77 และเวอร์ชัน canary ที่ใหม่กว่า ในขณะที่ Next.js 13.x, 14.x stable, Pages Router และ Edge Runtime ไม่ได้รับผลกระทบ 🛡️ แนวทางแก้ไข ไม่มีวิธีการตั้งค่าหรือ workaround ที่สามารถปิดช่องโหว่นี้ได้ ผู้พัฒนาจึงต้อง อัปเดตทันที ไปยังเวอร์ชันที่ได้รับการแก้ไข ได้แก่: 🪛 Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 🪛 Next.js 16.0.7 สำหรับผู้ที่ใช้เวอร์ชัน 14 Canary ควร downgrade กลับไปยังเวอร์ชัน stable ล่าสุดเพื่อความปลอดภัย 📌 สรุปประเด็นสำคัญ ✅ ข้อมูลจากข่าว ➡️ ช่องโหว่ CVE-2025-66478 มีคะแนน CVSS 10.0 ➡️ เกิดจาก React Server Components (RSC) Protocol ที่ไม่ตรวจสอบข้อมูลเข้มงวด ➡️ ส่งผลให้เกิด Remote Code Execution (RCE) ได้ทันที ➡️ เวอร์ชันที่ได้รับผลกระทบคือ Next.js 15.x, 16.x และ 14.3.0-canary.77+ ➡️ เวอร์ชันที่ปลอดภัยคือ Next.js 13.x, 14.x stable, Pages Router และ Edge Runtime ‼️ คำเตือนจากข่าว ⛔ ไม่มี workaround หรือการตั้งค่าที่ช่วยแก้ไขได้ ⛔ หากไม่อัปเดตทันที ระบบเสี่ยงต่อการถูกยึดครองเต็มรูปแบบ ⛔ ผู้ใช้ Next.js Canary ต้อง downgrade เพื่อหลีกเลี่ยงความเสี่ยง ⛔ การละเลยการอัปเดตอาจทำให้ข้อมูลและระบบถูกโจมตีโดยตรง https://securityonline.info/maximum-severity-alert-critical-rce-flaw-hits-next-js-cve-2025-66478-cvss-10-0/