CVE-2021-43803highCWE-20

CVE-2021-43803: falha de alta gravidade em vercel next.js

Unexpected server crash in Next.js

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar next.js+ Monitorar next

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 47%
Em resumo

Versões do Next.js entre 11.1.0 e 12.0.4 caem quando recebem URLs malformadas, derrubando o servidor temporariamente. Afeta sites usando essas versões com Node.js 15 ou superior.

Detalhe técnico

Validação inadequada de entrada (CWE-20) no processamento de URLs permite que atacantes enviem URLs malformadas que provocam exceção não tratada, resultando em negação de serviço. O vetor é pela rede sem autenticação; versões afetadas requerem Next.js 11.1.0–12.0.4, Node.js 15.0.0+ e next start ou servidor customizado (plataformas gerenciadas como Vercel filtram requisições antes).

Resumo gerado e traduzido por IA a partir da descrição oficial.
Next.js is a React framework. In versions of Next.js prior to 12.0.5 or 11.1.3, invalid or malformed URLs could lead to a server crash. In order to be affected by this issue, the deployment must use Next.js versions above 11.1.0 and below 12.0.5, Node.js above 15.0.0, and next start or a custom server. Deployments on Vercel are not affected, along with similar environments where invalid requests are filtered before reaching Next.js. Versions 12.0.5 and 11.1.3 contain patches for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
vercel · next.js
CVEs relacionadas — vercel next.js

No mesmo produto, das mais perigosas para as menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2026-44578HIGHNext.js: Server-side request forgery in applications using WebSocket upgradesEPSS 35.5%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%CVE-2025-57822MEDIUMNext.js Improper Middleware Redirect Handling Leads to SSRFEPSS 2.6%