PT-2026-30990 · Unknown · Redwoodsdk

Zebbern · Publicado 2026-04-07 · Atualizado 2026-04-08 · CVE-2026-39371

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions RedwoodSDK versões 1.0.0-beta.50 até 1.0.5

Description Funções do servidor RedwoodSDK exportadas de arquivos "use server" podiam ser chamadas via requisições GET, ignorando as restrições de método HTTP pretendidas. Em aplicações que utilizam autenticação baseada em cookies, isso permitia que requisições GET cross-site iniciassem modificações de estado, já que os navegadores incluem cookies SameSite=Lax com requisições GET de nível superior. Isso impactou todas as funções do servidor, incluindo os manipuladores serverAction() e funções exportadas diretamente dentro de arquivos "use server".

Recommendations Atualize para a versão 1.0.6 ou posterior do RedwoodSDK.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-39371

GHSA-X8RX-789C-2PXQ

Produtos afetados

Redwoodsdk

Referências · 5

• https://github.com/redwoodjs/sdk · Nota
• https://github.com/redwoodjs/sdk/security/advisories/GHSA-x8rx-789c-2pxq · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x8rx-789c-2pxq · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041711905883222287 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39371 · Nota de Segurança