CVE-2024-34351

HochVeröffentlicht

Server-Side Request Forgery in Next.js Server Actions

Veröffentlicht: 09.05.2024
Aktualisiert: 02.08.2024
CNA zuweisen: GitHub_M
Beweise beobachtet: 08.08.2026

Primäres CVSS

7,5/ 10Hoch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

EPSS-Wahrscheinlichkeitsschätzung

5,5 %

Niedrig · nächste 30 Tage

Perzentil: 92,4 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Next.js ist ein React-Framework, das Bausteine zur Erstellung von Webanwendungen bereitstellen kann. In Next.js Server Actions wurde eine Schwachstelle namens Server-Side Request Forgery (SSRF) identifiziert. Wenn der `Host`-Header geändert wird und die folgenden Bedingungen ebenfalls erfüllt sind, kann ein Angreifer möglicherweise Anfragen senden, die scheinbar vom Next.js-Anwendungsserver selbst stammen. Die erforderlichen Bedingungen sind: 1) Next.js wird selbst gehostet; 2) die Next.js-Anwendung verwendet Server Actions; und 3) die Server Action führt eine Weiterleitung auf einen relativen Pfad durch, der mit einem `/` beginnt. Diese Schwachstelle wurde in Next.js `14.1.1` behoben.

Quellen

nextjs-CVE-2024-34351-_exploitPoC
PoC für eine vollständige Ausnutzung von NextJS SSRF (CVE-2024-34351)
cve-2024-34351-demoPoC
Minimal Next.js 14.0.0 Demo-App für die CVE-2024-34351 SSRF-Schwachstelle. Enthält Exploit-Setup, Interactsh-Bestätigung, Burp-Abfangen und AWS-Metadaten-Eskalationsschritte.
Next.js_exploit_CVE-2024-34351

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.