CVE-2026-44578

Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.

Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.

W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.

Next.js to framework React do budowania pełnostackowych aplikacji webowych. W wersjach 12.0.0 do 15.5.20 oraz 16.0.0 do 16.2.10, fetch po stronie serwera z ciałem żądania może zwrócić buforowaną treść odpowiedzi z innego żądania do tego samego URL-a, ale z innym ciałem. Poufne dane w treści odpowiedzi POST mogą wyciec do nieautoryzowanych żądań. Problem został naprawiony w wersjach 15.5.21 i 16.2.11.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, pobieranie po stronie serwera z ciałem żądania może zwrócić buforowaną odpowiedź z innego żądania do tego samego URL, ale z innym ciałem. Prowadzi to do wycieku poufnych danych z odpowiedzi POST do nieautoryzowanych żądań. Problem występuje tylko przy ciałach żądań z zestawem znaków innym niż UTF-8.

W Next.js w wersjach 13.0.0 do 15.5.20 i 16.0.0 do 16.2.10, żądania kierowane do aplikacji używających App Router z co najmniej jedną Server Action mogą prowadzić do nadmiernego zużycia pamięci, jeśli ta Server Action używa środowiska wykonawczego Edge.

Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).

W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, aplikacje używające App Router i Server Actions mogą ujawnić identyfikatory Server Action nieuwierzytelnionym użytkownikom poprzez publicznie serwowane artefakty klienckie. To ujawnienie jest zazwyczaj prymitywem rozpoznawczym, ale zwiększa ryzyko w połączeniu z innymi słabościami.

Next.js w wersjach 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z Turbopack i pojedynczym wpisem w config.i18n.locales. Specjalnie spreparowane żądania mogą ominąć uwierzytelnianie oparte na middleware/proxy.