CVE-2024-34351
Açıklama
Next.js, web uygulamaları oluşturmak için yapı taşları sağlayabilen bir React framework'üdür. Next.js Server Actions bileşeninde bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti tespit edilmiştir. Eğer `Host` başlığı değiştirilirse ve aşağıdaki koşullar da karşılanırsa, bir saldırgan Next.js uygulama sunucusunun kendisinden geliyormuş gibi görünen istekler yapabilir. Gerekli koşullar şunlardır: 1) Next.js'in kendi kendine barındırılan (self-hosted) bir şekilde çalışıyor olması; 2) Next.js uygulamasının Server Actions kullanıyor olması; ve 3) Server Action'ın `/` ile başlayan göreceli bir yola yönlendirme gerçekleştirmesi. Bu zafiyet Next.js `14.1.1` sürümünde giderilmiştir.
Nasıl düzeltilir
- vercel next.js14.1.1 ya da sonraki bir sürüm
- next14.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 13.4.0 ≤ v < 14.1.1 | 14.1.1 |
| nextnpm | 13.4.0 ≤ v < 14.1.1 | 14.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.