PT-2026-7809 · Unknown · Next-Mdx-Remote

CVE-2026-0969 · Publicado 2026-02-12 · Atualizado 2026-02-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas next-mdx-remote versões 4.3.0 a 5.0.0

Descrição A função serialize do next-mdx-remote não sanitiza adequadamente o conteúdo MDX, levando à possibilidade de execução arbitrária de código. Ocorre ao compilar MDX, especialmente ao renderizar no lado do servidor conteúdo MDX não confiável que inclui expressões JavaScript. A exploração dessa vulnerabilidade poderia permitir que um atacante execute código com privilégios do servidor. O problema afeta sistemas que utilizam renderização no lado do servidor do Next.js ou React.

Recomendações As versões 4.3.0 a 5.0.0 do next-mdx-remote devem ser atualizadas para a versão 6.0.0 ou posterior.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-0969

GHSA-G4XW-JXRG-5F6M

Produtos afetados

Next-Mdx-Remote

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/0xxx/CVE-2026-0969.json · Exploit
• https://github.com/hashicorp/next-mdx-remote/releases/tag/v6.0.0 · Nota
• https://github.com/hashicorp/next-mdx-remote/commit/4d527fdcaed911b87f427d0b4d3c711e817fa4b3 · Nota
• https://github.com/hashicorp/next-mdx-remote · Nota
• https://discuss.hashicorp.com/t/hcsec-2026-01-arbitrary-code-execution-in-react-server-side-rendering-of-untrusted-mdx-content/77155 · Nota
• https://osv.dev/vulnerability/CVE-2026-0969 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2022010682116276305 · Publicação no Twitter
• https://twitter.com/ThreatSynop/status/2022256176558231741 · Publicação no Twitter
• https://t.me/cveNotify/151799 · Publicação no Telegram
• https://twitter.com/SocketSecurity/status/2022055294231359504 · Publicação no Twitter
• https://twitter.com/RafterSecurity/status/2022462561367760947 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-0969 · Nota de Segurança
• https://t.me/CVEtracker/44496 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2021799451946557822 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-g4xw-jxrg-5f6m · Aviso do Fabricante