PT-2024-6621 · Next.Js · Next.Js

Allam Rachid + 2 · Publicado 2024-09-17 · Atualizado 2026-03-05 · CVE-2024-46982

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Next.js de 13.5.1 a 14.2.9

Descrição

O Next.js é um framework React para a criação de aplicações web full-stack. É possível enviar uma solicitação HTTP maliciosa para corromper o cache de uma rota renderizada no lado do servidor (não dinâmica) no roteador de páginas. Isso poderia forçar o Next.js a armazenar em cache uma rota que não deveria ser armazenada, enviando um cabeçalho Cache-Control: s-maxage=1, stale-while-revalidate que alguns CDNs também podem armazenar em cache. A vulnerabilidade afeta implantações que utilizam o roteador de páginas e rotas renderizadas do lado do servidor não dinâmicas, como pages/dashboard.tsx (mas não pages/blog/[slug].tsx). Implantações que utilizam apenas o roteador de aplicativos ou no Vercel não são afetadas.

Recomendações

Atualize para a versão 13.5.7 ou 14.2.10 do Next.js, ou posterior.

Exploit

Correção

DoS

IDOR

Enumeração de Fraquezas

CWE-349

CWE-639

Identificadores relacionados

BDU:2024-07780

CVE-2024-46982

GHSA-GP8F-8M3G-QVJ9

Produtos afetados

Next.Js

Referências · 39

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/46xxx/CVE-2024-46982.json · Exploit
• https://github.com/vercel/next.js · Nota
• https://github.com/vercel/next.js/security/advisories/GHSA-gp8f-8m3g-qvj9 · Aviso do Fabricante
• https://github.com/vercel/next.js/commit/7ed7f125e07ef0517a331009ed7e32691ba403d3 · Correção
• https://github.com/vercel/next.js/commit/bd164d53af259c05f1ab434004bcfdd3837d7cda · Correção
• https://twitter.com/the_yellow_fall/status/1836584182195081711 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-gp8f-8m3g-qvj9 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1836166970686755118 · Publicação no Twitter
• https://twitter.com/0xacb/status/2029513115910459874 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1836597989797691515 · Publicação no Twitter
• https://twitter.com/zhero___/status/1881749196161814539 · Publicação no Twitter
• https://twitter.com/hassan56957977/status/1918658533203046550 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-46982 · Nota de Segurança
• https://t.me/csirt_italia/2403 · Publicação no Telegram
• https://twitter.com/Netlas_io/status/1836741687193801103 · Publicação no Twitter