Tim Neutkens

Existe uma falha onde uma correção de segurança anterior não foi aplicada corretamente ao `middleware.ts` quando utilizado em conjunto com o Turbopack, um empacotador incremental de alta performance para JavaScript e TypeScript.

Aplicações self-hosted que utilizam o servidor Node.js integrado estão sujeitas a server-side request forgery (SSRF), uma condição em que um invasor força um servidor a fazer requisições para um local não pretendido. Atacantes remotos não autenticados podem usar requisições HTTP de formulário absoluto manipuladas contendo cabeçalhos `Upgrade: websocket` para forçar o servidor a fazer o proxy de requisições para destinos internos ou externos arbitrários. Isso pode expor serviços internos, painéis de administração, APIs privadas e endpoints de metadados de nuvem (como 169.254.169.254), levando potencialmente ao roubo de credenciais de nuvem, chaves de API e segredos. Estima-se que aproximadamente 79.000 instâncias estejam expostas no Shodan. Implantações hospedadas no Vercel não são afetadas.

Aplicações App Router que utilizam verificações de autorização baseadas em middleware ou proxy podem permitir acesso não autorizado através de variantes de rota específicas de transporte usadas para pré-busca de segmentos (segment prefetching). URLs `.rsc` e de pré-busca de segmento especialmente criadas podem resolver para a mesma página sem serem correspondidas pela regra de middleware pretendida, permitindo que conteúdos protegidos sejam acessados sem a verificação de autorização esperada.

Aplicações que utilizam Partial Prerendering através do recurso Cache Components estão suscetíveis à exaustão de conexões. Uma requisição POST manipulada para uma ação de servidor pode desencadear um deadlock no processamento do corpo da requisição. Este estado mantém as conexões abertas por um período prolongado, consumindo descritores de arquivo e a capacidade do servidor, o que pode resultar em negação de serviço para usuários legítimos.