CVE-2021-39178highCWE-79

CVE-2021-39178: falha de alta gravidade em vercel next.js

XSS in Image Optimization API for Next.js versions between 10.0.0 and 11.1.0

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar next.js+ Monitorar next

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.1%
Em resumo

Next.js versões 10.0.0 a 11.0.0 permitem que atacantes injetem código malicioso através de imagens SVG quando a API de otimização de imagens está configurada. Se um site permite que usuários enviem ou referenciem arquivos SVG de domínios configurados, atacantes podem executar JavaScript arbitrário nos navegadores dos visitantes.

Detalhe técnico

Vulnerabilidade de cross-site scripting (XSS) na API de Otimização de Imagens do Next.js versões 10.0.0–11.0.0. Requer: (1) `images.domains` configurado em next.config.js, (2) domínio permitindo SVGs fornecidos por usuários, e (3) uso do carregador padrão (não custom loader ou Vercel). Payloads SVG em parâmetros de imagem contornam sanitização, permitindo execução de scripts arbitrários.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Next.js is a React framework. Versions of Next.js between 10.0.0 and 11.0.0 contain a cross-site scripting vulnerability. In order for an instance to be affected by the vulnerability, the `next.config.js` file must have `images.domains` array assigned and the image host assigned in `images.domains` must allow user-provided SVG. If the `next.config.js` file has `images.loader` assigned to something other than default or the instance is deployed on Vercel, the instance is not affected by the vulnerability. The vulnerability is patched in Next.js version 11.1.1.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
vercel · next.js
CVEs relacionadas — vercel next.js

No mesmo produto, das mais perigosas para as menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2021-43803HIGHUnexpected server crash in Next.jsEPSS 47.3%CVE-2026-44578HIGHNext.js: Server-side request forgery in applications using WebSocket upgradesEPSS 35.5%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%