CVE-2020-15242: falha de média gravidade em vercel next.js
Open Redirect in Next.js
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Next.js versões 9.5.0 até 9.5.3 tem uma falha que permite que atacantes redirecionem usuários para sites externos usando caminhos de URL especialmente codificados. Embora o redirecionamento em si não cause dano direto, pode ser usado para ataques de phishing enganando usuários para visitar sites maliciosos.
Existe uma vulnerabilidade de redirecionamento aberto no tratamento do redirecionamento com barra final do Next.js onde caminhos especialmente codificados contornam validações e redirecionam para domínios externos controlados pelo atacante. O ataque requer apenas uma URL manipulada e afeta versões 9.5.0 até 9.5.3, possibilitando roubo de credenciais e campanhas de phishing através de redirecionamentos de domínios confiáveis.
No mesmo produto, das mais perigosas para as menos.