CVE-2024-34351

Versões do Next.js anteriores à 14.1.1

Foi identificada uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) nas Ações de Servidor do Next.js. Se o cabeçalho Host for modificado e determinadas condições forem atendidas, um invasor poderá realizar solicitações que pareçam ter origem no próprio servidor da aplicação Next.js. As condições necessárias são: 1) o Next.js está sendo executado de forma auto-hospedada; 2) a aplicação Next.js utiliza as Ações de Servidor; e 3) a Ação de Servidor realiza um redirecionamento para um caminho relativo que começa com um /. Estima-se que mais de 3,1 milhões de serviços estejam potencialmente afetados.

Para versões do Next.js anteriores à 14.1.1, atualize para a versão 14.1.1 do Next.js para resolver o problema. Como solução temporária, considere restringir o acesso às Ações de Servidor ou desativar o uso de caminhos relativos que começam com / nas Ações de Servidor até que um patch seja aplicado. Além disso, tenha cuidado ao modificar o cabeçalho Host para evitar possíveis ataques SSRF.