PT-2020-14307 · Vercel · Next.Js

Timneutkens · Publicado 2020-10-08 · Atualizado 2020-12-03 · CVE-2020-15242

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 9.5.0 a 9.5.3 do Next.js

Descrição

A vulnerabilidade permite um redirecionamento aberto, em que caminhos especialmente codificados podem ser usados com o redirecionamento por barra final para permitir que ocorra um redirecionamento aberto para um site externo. Esse redirecionamento não prejudica diretamente os usuários, embora possa permitir ataques de phishing ao redirecionar de um domínio confiável para o domínio de um invasor.

Recomendações

Para as versões 9.5.0 a 9.5.3 do Next.js, atualize para a versão 9.5.4 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso a caminhos especialmente codificados para minimizar o risco de exploração.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2020-15242

GHSA-X56P-C8CG-Q435

Produtos afetados

Next.Js

Referências · 7

• https://github.com/vercel/next.js · Nota
• https://github.com/zeit/next.js/releases/tag/v9.5.4 · Nota
• https://github.com/vercel/next.js/security/advisories/GHSA-x56p-c8cg-q435 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2020-15242 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15242 · Aviso do Fabricante
• https://t.me/cibsecurity/15168 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-x56p-c8cg-q435 · Aviso do Fabricante