p PatchFirst

CVE-2021-39178

CVE-2021-39178 · XSS in Image Optimization API for Next.js versions between 10.0.0 and 11.1.0

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Next.js is a React framework. Versions of Next.js between 10.0.0 and 11.0.0 contain a cross-site scripting vulnerability. In order for an instance to be affected by the vulnerability, the `next.config.js` file must have `images.domains` array assigned and the image host assigned in `images.domains` must allow user-provided SVG. If the `next.config.js` file has `images.loader` assigned to something other than default or the instance is deployed on Vercel, the instance is not affected by the vulnerability. The vulnerability is patched in Next.js version 11.1.1.

CVSS 7.5 · Высокий · EPSS 1,1% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • next.js

    Версии
    • >= 10.0.0, < 11.1.1: Затронуто

    Нет опубликованного исправления

  • next npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 10.0.0, < 11.1.1

    Обновитесь до 11.1.1

Первоисточники

Проверьте свой сервер →