PT-2022-15063 · Next.Js · Next.Js

Ijjk + 1 · Publicado 2022-01-28 · Atualizado 2023-07-24 · CVE-2022-21721

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Next.js de 12.0.0 a 12.0.8

Descrição

A vulnerabilidade permite que um invasor desencadeie um ataque de negação de serviço contra qualquer usuário da funcionalidade i18n. Para ser afetado, é necessário usar o next start ou um servidor personalizado e o suporte i18n integrado. Implantações no Vercel, bem como em ambientes semelhantes onde solicitações inválidas são filtradas antes de chegar ao Next.js, não são afetadas.

Recomendações

Para as versões 12.0.0 a 12.0.8 do Next.js, atualize para next@12.0.9 para mitigar o problema.

Como solução temporária, certifique-se de que /${locale}/ next/ seja bloqueado de acessar a instância do Next.js até que seja possível realizar a atualização.

Exploit

Correção

RCE

Resource Exhaustion

Enumeração de Fraquezas

CWE-20

CWE-400

Identificadores relacionados

CVE-2022-21721

GHSA-WR66-VRWM-5G5X

Produtos afetados

Next.Js

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21721.json · Exploit
• https://github.com/vercel/next.js · Nota
• https://github.com/vercel/next.js/pull/33503 · Correção
• https://github.com/vercel/next.js/security/advisories/GHSA-wr66-vrwm-5g5x · Nota
• https://github.com/vercel/next.js/releases/tag/v12.0.9 · Nota
• https://osv.dev/vulnerability/GHSA-wr66-vrwm-5g5x · Aviso do Fabricante
• https://t.me/cvenotify/55031 · Publicação no Telegram
• https://t.me/cvenotify/26008 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21721 · Aviso do Fabricante
• https://t.me/cvenotify/26002 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-21721 · Nota de Segurança