CVE-2026-103004
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność w Next.js w wersjach od 16.3.0 do 16.3.7 powoduje nieprawidłowe kluczowanie pamięci podręcznej dla funkcji 'use cache', co może prowadzić do wycieku wartości zwracanych między różnymi parametrami root.
Ocena ryzyka
Wyciek danych między różnymi kontekstami może prowadzić do ujawnienia wrażliwych informacji lub nieautoryzowanego dostępu do treści.
Rekomendacja
Zaktualizuj Next.js do wersji 16.3.8 lub nowszej, która zawiera poprawkę.
Inne podatności w Next.js
Zobacz wszystkie- CVE-2026-94544Średnie
Next.js w wersjach od 16.3.0 do 16.3.8 współdzieli wypełnienia pamięci podręcznej dla tego samego klucza bez rozdzielania żądań trybu roboczego od zwykłych żądań. Nakładające się zwykłe żądanie może otrzymać nieuwierzytelnione nieopublikowane treści z wypełnienia trybu roboczego, a nakładające się żądanie trybu roboczego może otrzymać opublikowane treści ze zwykłego wypełnienia. Gdy zwykłe żądanie prerenderuje stronę, treści zależne od wersji roboczej mogą pozostać w wygenerowanej stronie i być serwowane późniejszym odwiedzającym do czasu rewalidacji. Luka dotyczy witryn z włączonymi Cache Components lub experimental.useCache, gdy funkcje buforowane zwracają treści zależne od wersji roboczej. Problem naprawiono w wersji 16.3.8.
- CVE-2026-94543Średnie
Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla samodzielnie hostowanych aplikacji używających Pages Router ze statycznie generowanymi stronami lub Incremental Static Regeneration może kluczować wpis w pamięci podręcznej odpowiedzi bez wystarczającego powiązania go z trasą źródłową. Żądanie może zastąpić wpis pamięci podręcznej jednej strony treścią z innej trasy, co powoduje serwowanie nieprawidłowych treści wszystkim odwiedzającym do czasu rewalidacji. Aplikacje wdrożone na Vercel nie są dotknięte. Problem naprawiono w wersjach 15.5.27 i 16.3.8.
- CVE-2026-94486Niskie
Next.js to framework React do budowy aplikacji full-stack. Od wersji 16.0.0 do 16.3.8 serwer deweloperski next dev udostępnia punkt końcowy Model Context Protocol bez niezawodnego ograniczania żądań między witrynami. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do punktu końcowego i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, listę tras i logi deweloperskie. Wdrożenia produkcyjne nie udostępniają tego punktu końcowego. Problem został naprawiony w wersji 16.3.8.
- CVE-2026-94485Średnie
Next.js w wersjach od 16.0.0 do 16.3.8 w serwerze deweloperskim `next dev` udostępnia endpoint Model Context Protocol bez wystarczającego ograniczenia żądań cross-site. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do endpointu i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, spis tras oraz logi deweloperskie. Wdrożenia produkcyjne nie serwują tego endpointu. Problem naprawiono w wersji 16.3.8.
- CVE-2026-94484Średnie
Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla aplikacji z catch-all stroną na poziomie głównym i statycznie generowanymi trasami lub Incremental Static Regeneration może używać współdzielonego klucza pamięci podręcznej odpowiedzi, który jest niewystarczająco ograniczony do trasy źródłowej. Pojedyncze nieuwierzytelnione spreparowane żądanie może zatruć tę pamięć podręczną, powodując podmianę treści między użytkownikami lub trwałą odmowę usługi do czasu rewalidacji lub wymiany zatrutego wpisu. Problem naprawiono w wersjach 15.5.27 i 16.3.8.
- CVE-2026-94483Wysokie
Next.js w wersjach od 16.0.0 do 16.3.8 ma podatność w optymalizacji obrazów, która pozwala na ominięcie listy dozwolonych adresów URL i dostęp do prywatnych adresów IP. Atakujący może kontrolować rozwiązywanie DNS dla zdalnego URL, który pasuje do wzorca images.remotePatterns.
- CVE-2017-16877Wysokie
Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.
- CVE-2026-75604Krytyczne
Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.
- CVE-2026-44578Wysokie
Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.
- CVE-2026-64649Średnie
W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.
Oryginalny opis (angielski, źródło NVD)
Next.js versions from 16.3.0 to 16.3.7 warm `use cache` handlers using `next/root-params` and can leak their return value to pages with different root params. With Cache Components enabled (cacheComponents: true), a 'use cache' function that calls another 'use cache' function that reads a root param can be keyed incorrectly when the inner call is served from an existing entry: the enclosing function's cache key then omits that root param. The enclosing entry is written once and reused for all root param values, so a response for one root param value can serve content produced for a different value — whether the page is prerendered at build time or at runtime, or rendered dynamically. Shared cache headers let downstream caches redistribute the content further. What values are leaked cannot be attacker controlled. Which value's content is served depends only on which invocation wrote the entry first. This has been patched in 16.3.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS