Vulnerabilidad en next.js de vercel (CVE-2026-27978)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

18/03/2026

Última modificación:

18/03/2026

Descripción

Next.js es un React framework para construir aplicaciones web full-stack. A partir de la versión 16.0.1 y antes de la versión 16.1.7, `origin: null` fue tratado como un origen &#39;faltante&#39; durante la validación CSRF de las Server Actions. Como resultado, las solicitudes de contextos opacos (como iframes en sandbox) podían eludir la verificación de origen en lugar de ser validadas como solicitudes de origen cruzado. Un atacante podría inducir a un navegador víctima a enviar Server Actions desde un contexto en sandbox, ejecutando potencialmente acciones que cambian el estado con credenciales de la víctima (CSRF). Esto se corrigió en la versión 16.1.7 al tratar `&#39;null&#39;` como un valor de origen explícito y al aplicar comprobaciones de host/origen a menos que `&#39;null&#39;` esté explícitamente en la lista de permitidos en `experimental.serverActions.allowedOrigins`. Si la actualización no es posible de inmediato, añada tokens CSRF para Server Actions sensibles, prefiera `SameSite=Strict` en cookies de autenticación sensibles, y/o no permita `&#39;null&#39;` en `serverActions.allowedOrigins` a menos que sea intencionalmente requerido y adicionalmente protegido.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Passsive
Confidentiality (VC): Ninguno
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

5.30

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno