CVE-2026-27978

Next.js full-stack veb tətbiqlərinin qurulması üçün nəzərdə tutulmuş React freymvorkudur. Versiya 16.0.1-dən başlayaraq və versiya 16.1.7-yə qədər olan versiyalarda, Server Action CSRF validasiyası zamanı `origin: null` "çatışmayan" mənşə kimi qəbul edilirdi. Nəticədə, şəffaf olmayan kontekstlərdən (məsələn, sandbox edilmiş iframe-lər) gələn sorğular çarpaz mənşəli sorğular kimi yoxlanılmaq əvəzinə, mənşə verifikasiyasından yan keçə bilirdi. Hücumçu qurbanın brauzerini sandbox edilmiş kontekstdən Server Action-ları göndərməyə sövq edə bilərdi ki, bu da potensial olaraq qurbanın etibarnamələri ilə vəziyyəti dəyişdirən hərəkətlərin icrasına (CSRF) səbəb ola bilərdi. Bu problem, `'null'` dəyərinin aşkar mənşə dəyəri kimi qəbul edilməsi və `experimental.serverActions.allowedOrigins` siyahısında `'null'` açıq şəkildə icazə verilmiş siyahıya daxil edilmədikdə host/mənşə yoxlamalarının tətbiqi ilə versiya 16.1.7-də düzəldilmişdir. Təkmilləşdirmə dərhal mümkün deyilsə, həssas Server Action-lar üçün CSRF tokenləri əlavə edin, həssas autentifikasiya kukiləri üçün `SameSite=Strict` parametrindən istifadə edin və/və ya qəsdən tələb olunmadıqda və əlavə qoruma tətbiq edilmədikdə `serverActions.allowedOrigins` bölməsində `'null'` dəyərinə icazə verməyin.