CVE-2024-47831mediumCWE-674

CVE-2024-47831: fallo de gravedad media en vercel next.js

Next.js image optimization has Denial of Service condition

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear next.js+ Monitorear next

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9epss 0.7%
En resumen

Las versiones de Next.js anteriores a la 14.2.7 tienen un defecto en la optimización de imágenes que puede ser explotado para consumir exceso de CPU y dejar la aplicación no disponible. Esto afecta a la mayoría de configuraciones estándar, a menos que la optimización sea desactivada o personalizada.

Detalle técnico

Una vulnerabilidad de llamada recursiva (CWE-674) en la optimización de imágenes de Next.js permite que atacantes remotos desencadenen consumo ilimitado de recursos mediante solicitudes de imagen especialmente construidas, causando denegación de servicio. La vulnerabilidad afecta versiones 10.x a 14.x anteriores a 14.2.7 con optimización de imágenes predeterminada; aplicaciones con images.unoptimized=true, loaders personalizados u hospedadas en Vercel no se ven afectadas.

Resumen generado y traducido por IA a partir de la descripción oficial.
Next.js is a React Framework for the Web. Cersions on the 10.x, 11.x, 12.x, 13.x, and 14.x branches before version 14.2.7 contain a vulnerability in the image optimization feature which allows for a potential Denial of Service (DoS) condition which could lead to excessive CPU consumption. Neither the `next.config.js` file that is configured with `images.unoptimized` set to `true` or `images.loader` set to a non-default value nor the Next.js application that is hosted on Vercel are affected. This issue was fully patched in Next.js `14.2.7`. As a workaround, ensure that the `next.config.js` file has either `images.unoptimized`, `images.loader` or `images.loaderFile` assigned.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
vercel · next.js
CVEs relacionadas — vercel next.js

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2021-43803HIGHUnexpected server crash in Next.jsEPSS 47.3%CVE-2026-44578HIGHNext.js: Server-side request forgery in applications using WebSocket upgradesEPSS 35.5%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%