CVE-2024-34351
Təsvir
Next.js veb tətbiqlər yaratmaq üçün struktur blokları təmin edən bir React freymvorkudur. Next.js Server Actions-da Server-Side Request Forgery (SSRF) zəifliyi aşkar edilmişdir. Əgər `Host` başlığı dəyişdirilərsə və aşağıdakı şərtlər də yerinə yetirilərsə, hücumçu sorğuların elə görünən şəkildə göndərilməsini təmin edə bilər ki, sanki onlar Next.js tətbiq serverinin özündən gəlir. Tələb olunan şərtlər bunlardır: 1) Next.js özünə məxsus hostunda (self-hosted) işləyir; 2) Next.js tətbiqi Server Actions-dan istifadə edir; və 3) Server Action `/` ilə başlayan nisbi yola yönləndirmə (redirect) həyata keçirir. Bu zəiflik Next.js `14.1.1` versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- vercel next.js14.1.1 və ya daha yeni versiya
- next14.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vercel next.js | 13.4.0 ≤ v < 14.1.1 | 14.1.1 |
| nextnpm | 13.4.0 ≤ v < 14.1.1 | 14.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.