CVE-2026-44581
MediumSummary
Next.js to framework React do budowania aplikacji webowych typu full-stack. Aplikacje korzystające z App Router w wersjach od 13.4.0 do przed 15.5.16 oraz 16.2.5 mogą być podatne na przechowywane ataki cross-site scripting (XSS) przy użyciu nonce'ów CSP, gdy są wdrażane za pośrednictwem wspólnych pamięci podręcznych.
Risk Assessment
Organizacje mogą być narażone na ataki XSS, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Wykorzystanie tej podatności może mieć poważne konsekwencje dla bezpieczeństwa aplikacji i danych.
Recommendation
Zaleca się aktualizację Next.js do wersji 15.5.16 lub 16.2.5 oraz przegląd konfiguracji CSP, aby upewnić się, że nonce'y są poprawnie generowane i stosowane.
Original NVD description (English source)
Next.js is a React framework for building full-stack web applications. From 13.4.0 to before 15.5.16 and 16.2.5, App Router applications that rely on CSP nonces can be vulnerable to stored cross-site scripting when deployed behind shared caches. In affected versions, malformed nonce values derived f