01
Next.js画像処理に重大な問題。SVG経由の遠隔コード実行に注意
Next.jsの画像最適化機能で、特定のLinux環境と依存ライブラリの組み合わせにより遠隔コード実行につながる可能性が報告されました。すべてのNext.jsサイトが影響を受けるわけではありません。
CRITICALNext.js / SVG原文を確認 ↗
ResoArc • Security Weather Watch Web安全な情報を、わかる言葉で。
脆弱性朝刊
The Security Morning Paper2026年10月23日（金） ｜ 第001号 ｜ 2面品質検証済み・取得 09:11 JST / 13情報源
今日、読むべき8件。
2面 注目ランキング31本を全部追う必要はありません。まずは、よく使われる技術・影響の大きさ・対策の明確さを軸に、編集部が8件に絞りました。
8本編集部の注目記事
31件本日掲載扱いの情報
31件ResoArcへの影響未判定
この順位は「危険度世界ランキング」ではありません。
各製品の利用状況が分からないため、採用している技術で優先順位は変わります。既知の悪用件数、被害者数、会社への影響を推測して順位付けしていません。
原文を確認 ↗
02
Next.js「use cache」に別の重大欠陥。特定の戻り値が条件
App RouterのCache Componentsで、複数の型付き配列を返す「use cache」関数がある場合、遠隔コード実行につながり得る問題です。提供元は16.4.1への更新を案内しています。
CRITICALNext.js / Cache原文を確認 ↗
03
画像ファイルがサーバーの問題に。Pillowの複数フレーム処理
画像処理ライブラリPillowで、複数フレームの画像を読み込む際にメモリ破壊が起こる問題です。特定の実行環境でコード実行を示す検証も報告されています。
CRITICALPillow / Python原文を確認 ↗
04
ログイン用トークンの信頼が揺らぐ。PyJWTの鍵設定に盲点
JWK方式で空のHMAC鍵を受け入れると、条件次第で偽造トークンの検証が通る可能性があります。一般的なJWTすべてが破られるという意味ではありません。
HIGHPyJWT / 認証原文を確認 ↗
05
Next.jsのServer Actionsに負荷攻撃の問題
App RouterでServer Actionsを使う構成は、細工されたリクエストによりCPU負荷が高くなり、サービス停止につながる可能性があります。
HIGHNext.js / DoS原文を確認 ↗
06
APIへの「Accept」ヘッダーだけでCPU消費。DRFに注意
Django REST frameworkのコンテンツ交渉処理で、非常に大きなAcceptヘッダーがCPUを長時間消費させる可能性があります。
HIGHPython / DRF原文を確認 ↗
07
Jupyter Serverで実行権限の境界に問題
Gateway WebSocketハンドラーで、カーネル実行の認可をすり抜ける問題が報告されています。該当構成の利用者は運用と更新情報を確認してください。
HIGHJupyter原文を確認 ↗
08
OSを更新しても残る画像ライブラリの問題
Pillowの配布パッケージに含まれる画像処理コンポーネントが問題になる事例。OSだけを更新しても、アプリ側の同梱ライブラリは別管理の場合があります。
HIGHPillow / OpenJPEG原文を確認 ↗
集計の重大度と、発行元の重大度が違うことも
DOMPurify（GHSA-cg2g-xh64-v4q7）とSentry（GHSA-mchm-gjx6-7h55）は、収集時の重大度と提供元の評価に差が見られます。どちらも本日の収録データでは「CRITICAL」ですが、このランキングからは一旦除外し、出典の最新版の確認を推奨します。
【集計について】「今日」はSWWWのDBに記録された掲載日で、脆弱性が今日初公開されたことを意味しません。 各社の公式文書が優先されます。品質に合格していないPARTIALデータは、紙面に組み込んでいません。企業への攻撃件数を数えたものではありません。