CVE-2026-27978

सारांश

Next.js एक React फ्रेमवर्क है जो फुल-स्टैक वेब एप्लिकेशन बनाने के लिए उपयोग किया जाता है। संस्करण 16.0.1 से शुरू होकर संस्करण 16.1.7 से पहले, Server Action CSRF सत्यापन के दौरान `origin: null` को "लापता" (missing) origin के रूप में माना जाता था। इसके परिणामस्वरूप, अपारदर्शी (opaque) संदर्भों (जैसे सैंडबॉक्स्ड iframes) से आने वाले अनुरोध क्रॉस-ओरिजिन अनुरोधों के रूप में सत्यापित होने के बजाय origin सत्यापन को बायपास कर सकते थे। एक हमलावर पीड़ित के ब्राउज़र को सैंडबॉक्स्ड संदर्भ से Server Actions सबमिट करने के लिए प्रेरित कर सकता था, जिससे पीड़ित के क्रेडेंशियल्स के साथ स्थिति-बदलने वाली क्रियाएं (state-changing actions) निष्पादित हो सकती थीं (CSRF)। यह संस्करण 16.1.7 में `'null'` को एक स्पष्ट origin मान के रूप में मानकर और host/origin जांचों को लागू करके ठीक किया गया है, जब तक कि `experimental.serverActions.allowedOrigins` में `'null'` को स्पष्ट रूप से allowlist नहीं किया गया हो। यदि तुरंत अपग्रेड करना संभव नहीं है, तो संवेदनशील Server Actions के लिए CSRF टोकन जोड़ें, संवेदनशील प्रमाणीकरण कुकीज़ पर `SameSite=Strict` प्राथमिकता दें, और/या `serverActions.allowedOrigins` में `'null'` को अनुमति न दें, जब तक कि यह जानबूझकर आवश्यक न हो और अतिरिक्त रूप से सुरक्षित न किया गया हो।

• Next.js-Proof-of-ConceptPoC

  Next.js में CVE-2025-29927, CVE-2026-27978 और CVE-2026-29057 के लिए कुछ Proof-of-Concept (POCs)।