PT-2021-22436 · Vercel · Vercel

Styfle · Publicado 2021-08-30 · Atualizado 2021-09-08 · CVE-2021-39178

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Next.js de 10.0.0 a 11.0.0

Descrição

O Next.js é um framework React que apresenta uma vulnerabilidade de script entre sites (XSS). Para que uma instância seja afetada, o arquivo next.config.js deve ter a matriz images.domains atribuída, e o host de imagens em images.domains deve permitir SVG fornecido pelo usuário. A instância não é afetada se o arquivo next.config.js tiver images.loader atribuído a algo diferente do padrão ou se estiver implantada no Vercel.

Recomendações

Para as versões 10.0.0 a 11.0.0 do Next.js, atualize para a versão 11.1.1 para resolver o problema.

Como solução temporária, considere modificar o arquivo next.config.js para atribuir images.loader a algo diferente do padrão ou restringir o uso de SVG fornecido pelo usuário na matriz images.domains até que um patch seja aplicado.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-39178

GHSA-9GR3-7897-PP7M

Produtos afetados

Vercel

Referências · 10

• https://github.com/vercel/next.js · Nota
• https://github.com/vercel/next.js/security/advisories/GHSA-9gr3-7897-pp7m · Correção
• https://github.com/vercel/next.js/releases/tag/v11.1.1 · Correção
• https://github.com/vercel/next.js/pull/28620 · Nota
• https://github.com/vercel/next.js/commit/7afc97c5744b38bdf36aa7f87625f438224688aa · Nota
• https://t.me/cvenotify/20410 · Publicação no Telegram
• https://t.me/cibsecurity/28056 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-39178 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39178 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9gr3-7897-pp7m · Aviso do Fabricante