Se acabó para NextJS... 13 NUEVAS vulnerabilidades

하이라이트

• Next.js y React presentan 13 nuevas vulnerabilidades CVE, incluyendo 6 de alta gravedad con puntuaciones de hasta 8.6 sobre 10.

• El fallo de Server-Side Request Forgery (SSRF) permite saltar firewalls y acceder a servicios internos como bases de datos o Redis mediante encabezados de upgrade websocket.

• Un ataque de denegación de servicio (DoS) en React Server Components puede bloquear el hilo del servidor durante 6 segundos mediante el envío de 200,000 claves en el payload.

• Las aplicaciones con i18n activado en el Pages Router sufren un bypass de middleware que expone props sensibles del servidor a través de la ruta _next/data.

• La vulnerabilidad de envenenamiento de caché ocurre porque el sistema ignora los query strings al validar la extensión .rsc, almacenando datos de componentes como si fueran HTML.

• El uso de JSON.stringify en scripts con estrategia before interactive permite inyectar etiquetas de cierre y ejecutar JavaScript malicioso (XSS) en el navegador del usuario.

타임라인

1. 00:00 - 00:48

   Panorama de seguridad en React y Next.js

   El lanzamiento de seguridad detalla múltiples vectores de ataque que afectan tanto al App Router como al Pages Router. Las vulnerabilidades abarcan desde cross-site scripting hasta bypass de proxies. Los frameworks alternativos como TanStack no se ven afectados por estos errores de implementación específicos.

   • El ecosistema de React y Next.js registra 13 nuevas vulnerabilidades CVE en un solo mes.
   • Seis de estos fallos poseen una calificación de alta gravedad debido a riesgos de DoS y bypass de seguridad.
   • La resolución definitiva para todos los problemas expuestos es la actualización a las versiones más recientes del framework.
2. 00:48 - 03:52

   Bypass de Middleware y Proxy en el Pages Router

   Al inspeccionar el build ID en el código fuente, un usuario no autorizado puede construir una URL bajo el prefijo _next/data para obtener los props de una página protegida. Aunque el middleware bloquea el acceso a las versiones traducidas (como /en/secret), permite la descarga de datos de la ruta base (/secret). Esto expone información privada como correos electrónicos o tokens de sesión si la lógica de autorización depende exclusivamente del middleware.

   • El uso de i18n en el Pages Router deja desprotegida la ruta base de las páginas secretas.
   • Los atacantes extraen datos sensibles del servidor solicitando el archivo JSON asociado al build ID de la aplicación.
   • El error reside en código defectuoso que excluye la ruta principal del matcher de seguridad cuando existen múltiples locales configurados.
3. 03:52 - 07:50

   Denegación de servicio en React Server Components

   El servidor buscaba coincidencias de claves de forma iterativa, realizando hasta 200 millones de comparaciones de strings por cada petición maliciosa. Este proceso bloquea el hilo de ejecución, impidiendo que el servidor atienda otras solicitudes. El parche de seguridad introduce una lista de claves con un cursor unidireccional que evita que el motor de React repita comparaciones ya realizadas.

   • El protocolo React Flight presenta una vulnerabilidad de complejidad algorítmica en la deserialización de datos.
   • Un payload diseñado con 200,000 claves y punteros múltiples eleva el tiempo de respuesta de 0.02 a 6 segundos.
   • La solución técnica implementa un sistema de cursores que reduce las operaciones de una escala multiplicativa a una aditiva.
4. 07:50 - 11:01

   Fuga de datos mediante Server-Side Request Forgery

   Al enviar un encabezado de upgrade websocket, Next.js procesa la URL del objetivo sin validar si pertenece a la aplicación legítima. Esto permite que un atacante externo solicite datos de servicios internos como Redis o bases de datos locales que normalmente no tienen acceso público. El fix añade guardas en la función resolve routes para verificar si la petición de proxy es legítima según las reglas de reescritura configuradas.

   • Una vulnerabilidad de nivel 8.6 permite usar el servidor de Next.js como proxy para atacar redes internas.
   • El fallo afecta principalmente a infraestructuras auto-alojadas fuera de la plataforma Vercel.
   • La inserción de un request target externo en una petición curl redirige el tráfico hacia servicios ocultos tras el firewall.
5. 11:01 - 15:53

   Envenenamiento de caché y Cross-Site Scripting

   En el caso de la caché, añadir un parámetro de búsqueda al final de una petición .rsc engaña al sistema de validación, sirviendo datos basura a usuarios legítimos. Por otro lado, el fallo de XSS explota el atributo dangerouslySetInnerHTML en scripts interactivos. Un atacante puede cerrar la etiqueta original y abrir una nueva para ejecutar código arbitrario, como inyectar un formulario de inicio de sesión falso para capturar credenciales de los usuarios.

   • El envenenamiento de caché ocurre cuando datos de Server Components se almacenan erróneamente como HTML debido a query strings.
   • La falta de escape de caracteres en etiquetas script antes de la interacción facilita ataques de XSS.
   • JSON.stringify no neutraliza etiquetas de cierre de script, permitiendo la inyección de formularios falsos o robo de cookies.