CVE-2021-43803highCWE-20

CVE-2021-43803: fallo de gravedad alta en vercel next.js

Unexpected server crash in Next.js

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear next.js+ Monitorear next

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 47%
En resumen

Las versiones de Next.js entre 11.1.0 y 12.0.4 se bloquean al recibir URLs malformadas, deteniendo el servidor temporalmente. Afecta a sitios que usan estas versiones con Node.js 15 o superior.

Detalle técnico

La validación inadecuada de entrada (CWE-20) en el análisis de URLs permite que atacantes envíen URLs malformadas que desencadenan una excepción no manejada, resultando en denegación de servicio. El vector es de red sin autenticación requerida; las versiones afectadas requieren Next.js 11.1.0–12.0.4, Node.js 15.0.0+ y next start o servidor personalizado (plataformas administradas como Vercel filtran solicitudes antes).

Resumen generado y traducido por IA a partir de la descripción oficial.
Next.js is a React framework. In versions of Next.js prior to 12.0.5 or 11.1.3, invalid or malformed URLs could lead to a server crash. In order to be affected by this issue, the deployment must use Next.js versions above 11.1.0 and below 12.0.5, Node.js above 15.0.0, and next start or a custom server. Deployments on Vercel are not affected, along with similar environments where invalid requests are filtered before reaching Next.js. Versions 12.0.5 and 11.1.3 contain patches for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
vercel · next.js
CVEs relacionadas — vercel next.js

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2026-44578HIGHNext.js: Server-side request forgery in applications using WebSocket upgradesEPSS 35.5%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%CVE-2025-57822MEDIUMNext.js Improper Middleware Redirect Handling Leads to SSRFEPSS 2.6%