CVE-2026-39371 in sdk
Riassunto
di VulDB • 15/06/2026
RedwoodSDK è un framework React basato su architettura server-first. Dalla versione 1.0.0-beta.50 alla 1.0.5, le funzioni di server esportate dai file "use server" potevano essere invocate tramite richieste GET, aggirando il relativo metodo HTTP previsto. Nelle applicazioni che utilizzano l'autenticazione basata su cookie, ciò consentiva alle navigazioni cross-site GET di attivare funzioni in grado di modificare lo stato dell'applicazione, poiché i browser inviano cookie SameSite=Lax nelle richieste GET a livello principale (top-level). Questa vulnerabilità ha interessato tutte le funzioni server: sia gli handler `serverAction()` che le funzioni esportate direttamente nei file "use server". La vulnerabilità è stata risolta nella versione 1.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.