CVE-2024-34350
Açıklama
Next.js, web uygulamaları oluşturmak için yapı taşları sağlayabilen bir React çerçevesidir. 13.5.1 sürümünden önce, özel olarak hazırlanmış bir HTTP isteğinin tutarsız yorumlanması, isteklerin Next.js tarafından hem tek bir istek hem de iki ayrı istek olarak değerlendirilmesine neden olarak yanıtların senkronizasyonunun bozulmasına yol açmıştır. Bu durum, etkilenen Next.js sürümlerinde bir yanıt kuyruğu zehirleme (response queue poisoning) zafiyetine yol açmıştır. Bir isteğin istismar edilebilmesi için, etkilenen rotanın aynı zamanda Next.js'deki [rewrites](https://nextjs.org/docs/app/api-reference/next-config-js/rewrites) özelliğini kullanıyor olması gerekmektedir. Zafiyet, Next.js `13.5.1` ve daha yeni sürümlerde giderilmiştir.
Nasıl düzeltilir
- vercel next.js13.5.1 ya da sonraki bir sürüm
- next13.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 13.4.0 ≤ v < 13.5.1 | 13.5.1 |
| nextnpm | 13.4.0 ≤ v < 13.5.1 | 13.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.