libheif 白帽漏洞波及 Next.js 图片优化，Vercel 复盘处置全程
cramforce · x · 2026-09-19
此前 OpenAI 白帽黑客 @S1r1u5 等人披露的漏洞影响范围远不止一家：任何接受攻击者控制图片的图像处理环节（如头像上传功能）都可能中招，Next.js 的图片优化支持也因依赖 libheif 而受影响。
- Vercel 团队与 @HacktronAI 合作复现了该 libheif 漏洞，并向维护者负责任披露，梳理了完整依赖链与修复过程。
- 团队还顺带追查到了 @xkcd 曾预言的「内布拉斯加的那个家伙」。
- 值得注意：通过 Vercel 平台使用图片优化的用户因代码沙箱隔离，天然免疫此漏洞利用。
这是一篇典型的事件响应复盘，讲清了供应链漏洞如何在依赖链中传播以及平台层沙箱的防护价值。
所属事件:HEIF Heist 图像库漏洞横扫 OpenAI、Meta 等巨头(8 条相关)→
「编程与Agent」频道最新
- Plurai 推出 Agent 仿真平台：从代码库构建数字孪生自动找故障 — thisguyknowsai · 2026-11-11
- 0xJeff:x402 的真正短板在企业级,大钱在 B2V 而非机器互付 — 0xJeff · 2026-11-11
- 开发者自建 git 网页应用被 Codex 安全护栏误判为网络安全风险 — brianmichel · 2026-11-11
- 形式化验证让 AI 编码更快：Lean 证明成为 agent 优化护栏 — bigdata · 2026-11-11
- Orchestrator v0.14.11 发布：统一管理散落各处的 AI 编程会话 — julianweisser · 2026-11-11
- DeepSeek 开源编码 agent DSH 登上 HF Harness 榜，五项评测并列第一 — TheZachMueller · 2026-11-11