2025-12-06 08:26:44

Ainda há muitos projetos online que não corrigiram este problema. Se aquele bug de desserialização RSC do Next.js for realmente explorado por hackers, não é só o servidor que vai abaixo — as tuas chaves privadas e carteiras podem ficar completamente expostas.

Como saber se foste afetado?
Duas formas simples e diretas:
• Instala uma extensão no navegador para fazer uma varredura
• Corre diretamente um script POC para testar

Aqui vai um guia de autoajuda:
Verifica já a versão dos pacotes dependentes; no terminal, executa npm list react-server-dom-webpack para veres como está a situação. Atualiza o que for preciso, aplica os patches necessários, não esperes que aconteça alguma coisa para agir.

Ver original

Esta página pode conter conteúdos de terceiros, que são fornecidos apenas para fins informativos (sem representações/garantias) e não devem ser considerados como uma aprovação dos seus pontos de vista pela Gate, nem como aconselhamento financeiro ou profissional. Consulte a Declaração de exoneração de responsabilidade para obter mais informações.

18 gostos

Recompensa
18
9
Republicar
Partilhar

Comentar

Adicionar um comentário

BearMarketSurvivor

· 2025-12-09 04:44

Se este buraco for realmente arrombado, o controlo de danos é a prioridade número um. Já vi demasiadas equipas a aplicar correções demasiado devagar e acabaram por ser apanhadas. É preciso fazer uma auto-inspeção antes que o adversário descubra, não deixes uma vulnerabilidade tão óbvia na linha de abastecimento.

Ver originalResponder0

NotGonnaMakeIt

· 2025-12-06 20:01

Epá, este bug é mesmo incrível, a chave privada está totalmente exposta? Tenho de fazer uma varredura rapidamente.

Ver originalResponder0

PessimisticLayer

· 2025-12-06 19:44

Chave privada exposta diretamente? Isso é que é realmente assustador, já devia ter dado atenção a isto.

Ver originalResponder0

GovernancePretender

· 2025-12-06 08:56

Fogo, as chaves privadas podem mesmo ficar expostas? Verifiquem isso já, malta!

---

Mais um destes buracos super escondidos, quantos projetos ainda estão a dormir descansados?

---

É só correr o npm list e fica feito, não esperes mesmo ser atacado para te lembrares disso

---

Isto é muito mais grave do que eu pensava, é melhor corrigir já

---

Para ser honesto, hoje em dia quem é que ainda se atreve a dizer que as suas dependências são totalmente seguras?

---

Grande cena, mais uma vulnerabilidade capaz de roubar chaves privadas, isto está mesmo perigoso hoje em dia

Ver originalResponder0

hodl_therapist

· 2025-12-06 08:56

Não me assustes, pá. Será que aqueles meus pequenos projectos são mesmo assim tão frágeis...? Vou já correr um script para testar.

Ver originalResponder0

StablecoinAnxiety

· 2025-12-06 08:53

Epá, a chave privada está mesmo exposta? Quem é que aguenta isto, despacha-te e faz uma verificação já.

Ver originalResponder0

SerLiquidated

· 2025-12-06 08:46

Sou um caçador de bugs habitual, sempre que vejo este tipo de vulnerabilidade de desserialização lembro-me daqueles projetos que já foram comprometidos... Chaves privadas expostas não são brincadeira. Vou já correr um script POC para validar isto e poder dormir descansado.

Ver originalResponder0

ser_we_are_ngmi

· 2025-12-06 08:37

Isto é que é uma vulnerabilidade séria, a chave privada a descoberto assim, quem é que aguenta?

---

Mais uma armadilha do Next.js, quando é que isto vai deixar de dar dores de cabeça?

---

Só quero saber quantos projetos ainda estão vulneráveis, eu pelo sim pelo não já corri o script de POC.

---

Falar em atualizar o npm é fácil, fazer mesmo já é outra história, nunca se sabe se isso não vai trazer novos bugs.

---

Basta varrer com uma extensão do browser e está feito? Parece-me que não é assim tão simples.

---

Uma vulnerabilidade de desserialização a expor chaves privadas, isto é mesmo grave.

---

Vou já correr um npm list senão nem consigo dormir.

---

Isto é mesmo stressante, ainda tenho de correr scripts para verificar, e os responsáveis pelo projeto?

---

Se não fosse ter visto isto agora, continuava completamente às escuras.

Ver originalResponder0

DeFiChef

· 2025-12-06 08:28

Fogo, este buraco é tão grande e ainda há quem não tenha corrigido? Deixar a chave privada exposta não é brincadeira nenhuma. Corre lá e faz um npm list, não esperes até ficares com a carteira vazia para começares a lamentar.

Ver originalResponder0

Ver mais