CVE-2024-47831mediumCWE-674

CVE-2024-47831: falha de média gravidade em vercel next.js

Next.js image optimization has Denial of Service condition

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar next.js+ Monitorar next

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.9epss 0.7%
Em resumo

Versions do Next.js anteriores à 14.2.7 têm um problema na otimização de imagens que pode ser explorado para consumir muita CPU e deixar a aplicação indisponível. Isso afeta a maioria das configurações padrão, a menos que a otimização seja desativada ou customizada.

Detalhe técnico

Uma vulnerabilidade de chamada recursiva (CWE-674) na otimização de imagens do Next.js permite que atacantes remotos desencadeiem consumo ilimitado de recursos por meio de requisições de imagem especialmente construídas, causando negação de serviço. A vulnerabilidade afeta versões 10.x a 14.x anteriores à 14.2.7 com otimização de imagens padrão; aplicações com images.unoptimized=true, loaders personalizados ou hospedadas na Vercel não são afetadas.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Next.js is a React Framework for the Web. Cersions on the 10.x, 11.x, 12.x, 13.x, and 14.x branches before version 14.2.7 contain a vulnerability in the image optimization feature which allows for a potential Denial of Service (DoS) condition which could lead to excessive CPU consumption. Neither the `next.config.js` file that is configured with `images.unoptimized` set to `true` or `images.loader` set to a non-default value nor the Next.js application that is hosted on Vercel are affected. This issue was fully patched in Next.js `14.2.7`. As a workaround, ensure that the `next.config.js` file has either `images.unoptimized`, `images.loader` or `images.loaderFile` assigned.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
vercel · next.js
CVEs relacionadas — vercel next.js

No mesmo produto, das mais perigosas para as menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2021-43803HIGHUnexpected server crash in Next.jsEPSS 47.3%CVE-2026-44578HIGHNext.js: Server-side request forgery in applications using WebSocket upgradesEPSS 35.5%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%