CVE-2026-27978
Next.js: origem nula pode contornar as verificações de CSRF do Server Actions
- Publicado
- 17 de mar. de 2026
- Atualizado
- 18 de mar. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 17 de ago. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 10,2%
- Data do modelo
- 21 de set. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Next.js é um framework React para a criação de aplicações web full-stack. A partir da versão 16.0.1 e antes da versão 16.1.7, `origin: null` era tratado como uma origem "ausente" durante a validação de CSRF de Server Actions. Como resultado, solicitações de contextos opacos (como iframes em sandbox) podiam contornar a verificação de origem em vez de serem validadas como solicitações de origem cruzada. Um atacante poderia induzir o navegador da vítima a enviar Server Actions a partir de um contexto em sandbox, potencialmente executando ações que alteram o estado com as credenciais da vítima (CSRF). Isso é corrigido na versão 16.1.7 ao tratar `'null'` como um valor de origem explícito e aplicar verificações de host/origem, a menos que `'null'` seja explicitamente incluído na lista de permissões em `experimental.serverActions.allowedOrigins`. Se a atualização não for imediatamente possível, adicione tokens CSRF para Server Actions sensíveis, prefira `SameSite=Strict` em cookies de autenticação sensíveis e/ou não permita `'null'` em `serverActions.allowedOrigins`, a menos que seja intencionalmente necessário e adicionalmente protegido.
Fontes
1Algumas Provas de Conceito (POCs) para CVE-2025-29927, CVE-2026-27978 e CVE-2026-29057 no Next.js.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.