libheif 白帽漏洞波及 Next.js 图片优化，Vercel 复盘处置全程
cramforce · x · 2026-09-19
此前 OpenAI 白帽黑客 @S1r1u5 等人披露的漏洞影响范围远不止一家：任何接受攻击者控制图片的图像处理环节（如头像上传功能）都可能中招，Next.js 的图片优化支持也因依赖 libheif 而受影响。
- Vercel 团队与 @HacktronAI 合作复现了该 libheif 漏洞，并向维护者负责任披露，梳理了完整依赖链与修复过程。
- 团队还顺带追查到了 @xkcd 曾预言的「内布拉斯加的那个家伙」。
- 值得注意：通过 Vercel 平台使用图片优化的用户因代码沙箱隔离，天然免疫此漏洞利用。
这是一篇典型的事件响应复盘，讲清了供应链漏洞如何在依赖链中传播以及平台层沙箱的防护价值。
所属事件:HEIF Heist 图像库漏洞横扫 OpenAI、Meta 等巨头(8 条相关)→
「编程与Agent」频道最新
- 实测案例:Opus 5.5 在架构级任务上明显胜过 GPT-6 Sol — DataLearnerAI · 2026-09-26
- Claude 常「杀掉」自己的 grep/shell 进程，prompt 规则也拦不住 — SebastianNehrd2 · 2026-09-26
- 网友用 Claude Opus 5.5 一小时做出 Blackwell GPU 3D 动画 — EricBuess · 2026-09-26
- 开发者大会总结:AI 编码正走向「智能体软件工厂」 — ahahabbak · 2026-09-26
- 小米 MiMo 开源 RL 环境 verl 分支，附完整训练代码 — eliebakouch · 2026-09-26
- 研究者感叹:分析恶意 agent 行为已离不开 AI,人工审计跟不上规模 — JeffLadish · 2026-09-26