Já era para o NextJS... 13 NOVAS vulnerabilidades

하이라이트

• Treze novas vulnerabilidades de segurança atingiram o React e o Next.js, sendo seis classificadas como de alta gravidade.

• Uma falha no roteamento de i18n permite ignorar middlewares de autenticação acessando diretamente a rota de dados JSON em /_next/data/.

• O protocolo React Flight é vulnerável a ataques de negação de serviço (DoS) que aumentam o tempo de resposta de 0.02 para 6 segundos via sobrecarga de chaves.

• A vulnerabilidade de Server-Side Request Forgery (SSRF) com nota 8.6 permite que atacantes acessem serviços internos protegidos por firewall através do servidor Next.js.

• O envenenamento de cache em Server Components ocorre quando o sistema confunde dados RSC com HTML devido à manipulação de query strings na URL.

• Scripts com a estratégia 'before-interactive' permitem a execução de Cross-Site Scripting (XSS) através de parâmetros de busca não sanitizados.

타임라인

1. 00:00 - 00:48

   Vulnerabilidades em larga escala no ecossistema React

   Este ciclo de atualizações marca a terceira grande leva de correções para Server Components em um curto período. As falhas impactam diversas funcionalidades principais, desde a negação de serviço até a execução de scripts maliciosos. Frameworks alternativos que não utilizam a mesma implementação de serialização do React permanecem imunes a estes problemas específicos.

   • O Next.js e o React enfrentam 13 novas CVEs simultâneas.
   • Seis dessas falhas possuem alta gravidade, incluindo bypass de middleware e SSRF.
   • A resolução definitiva para todos os problemas listados é a atualização imediata das versões do framework.
2. 00:48 - 03:51

   Bypass de Middleware e Proxy no Pages Router

   Ao ativar o suporte a múltiplos idiomas, o Next.js falha em proteger a rota base de dados JSON quando variantes de localidade estão configuradas. Atacantes utilizam o Build ID da aplicação para construir URLs em /_next/data/ e extrair props de páginas que deveriam exigir autenticação. A recomendação de segurança é nunca confiar exclusivamente em middlewares para a proteção de dados sensíveis no servidor.

   • O uso de i18n no Pages Router cria rotas desprotegidas por falha no matcher do middleware.
   • Dados sensíveis em getServerSideProps ficam expostos através da URL de dados do Next.js.
   • A vulnerabilidade possui uma pontuação de gravidade de 7.5 em 10.
3. 03:51 - 07:49

   Negação de Serviço via protocolo React Flight

   O problema reside na forma como o servidor processa referências de chaves dentro de objetos serializados, resultando em até 200 milhões de comparações custosas. Um único ataque bem estruturado pode elevar o tempo de processamento de milissegundos para segundos, escalando rapidamente para a indisponibilidade total. A nova implementação limita as operações a uma única passagem pelas chaves enviadas, impedindo a recursividade maliciosa.

   • A desserialização de payloads em Server Actions permite ataques de negação de serviço (DoS).
   • O envio de 200.000 chaves em um único payload bloqueia a thread do servidor por vários segundos.
   • A correção substitui a busca exaustiva por um sistema de cursor que reduz drasticamente o número de comparações de strings.
4. 07:49 - 10:57

   Server-Side Request Forgery e acesso a redes internas

   Atacantes enviam requisições manipuladas que forçam o servidor Next.js a atuar como um proxy para a rede interna. O código vulnerável processa a URL de destino antes de validar se a rota pertence à aplicação legítima. A correção introduz guardas na função de resolução de rotas que verificam o status da requisição e impedem o proxy de protocolos não autorizados.

   • O cabeçalho de upgrade de WebSocket permite redirecionar requisições para serviços internos.
   • A falha 8.6 SSRF ignora firewalls e expõe bancos de dados ou instâncias Redis locais.
   • Implementações auto-hospedadas são as mais vulneráveis a este tipo de ataque via comando curl.
5. 10:57 - 12:45

   Envenenamento de cache em Server Components

   O sistema de cache verificava apenas se o final da URL continha a extensão .rsc para diferenciar conteúdos. Ao adicionar parâmetros de busca após a extensão, o atacante força o armazenamento de dados brutos do servidor no cache de páginas públicas. Isso resulta na exibição de dados de sistema para usuários finais que tentam acessar a página normalmente.

   • Manipulação de query strings engana CDNs para armazenar dados RSC como se fossem HTML.
   • Usuários comuns recebem payloads de texto técnico em vez da interface visual renderizada.
   • A vulnerabilidade é classificada com gravidade moderada de 5.4.
6. 12:45 - 15:52

   Cross-Site Scripting em scripts Before Interactive

   O componente de script do Next.js não escapa caracteres HTML adequadamente ao processar propriedades adicionais. Isso permite que um atacante insira uma tag de fechamento dentro de um parâmetro de URL, encerrando o script legítimo e iniciando um bloco de código malicioso. O resultado é a execução arbitrária de JavaScript no navegador da vítima, facilitando ataques de phishing e roubo de credenciais.

   • A falha de escape em JSON.stringify permite a injeção de tags de fechamento de script.
   • Atacantes podem roubar cookies de sessão ou injetar formulários de login falsos.
   • O erro ocorre especificamente em tags de script que utilizam fontes de dados não confiáveis.