Next.js image optimization has Denial of Service condition
13Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 5.9epss 0.7%
probabilidad de explotación
0.7%top 47% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
Las versiones de Next.js anteriores a la 14.2.7 tienen un defecto en la optimización de imágenes que puede ser explotado para consumir exceso de CPU y dejar la aplicación no disponible. Esto afecta a la mayoría de configuraciones estándar, a menos que la optimización sea desactivada o personalizada.
Detalle técnico
Una vulnerabilidad de llamada recursiva (CWE-674) en la optimización de imágenes de Next.js permite que atacantes remotos desencadenen consumo ilimitado de recursos mediante solicitudes de imagen especialmente construidas, causando denegación de servicio. La vulnerabilidad afecta versiones 10.x a 14.x anteriores a 14.2.7 con optimización de imágenes predeterminada; aplicaciones con images.unoptimized=true, loaders personalizados u hospedadas en Vercel no se ven afectadas.
Resumen generado y traducido por IA a partir de la descripción oficial.
Next.js is a React Framework for the Web. Cersions on the 10.x, 11.x, 12.x, 13.x, and 14.x branches before version 14.2.7 contain a vulnerability in the image optimization feature which allows for a potential Denial of Service (DoS) condition which could lead to excessive CPU consumption. Neither the `next.config.js` file that is configured with `images.unoptimized` set to `true` or `images.loader` set to a non-default value nor the Next.js application that is hosted on Vercel are affected. This issue was fully patched in Next.js `14.2.7`. As a workaround, ensure that the `next.config.js` file has either `images.unoptimized`, `images.loader` or `images.loaderFile` assigned.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H