CVE-2026-44578
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych, takich jak usługi backendowe, bazy danych lub metadane chmury, co może prowadzić do wycieku danych lub dalszej kompromitacji infrastruktury.
Rekomendacja
Należy niezwłocznie zaktualizować Next.js do wersji 15.5.16 lub 16.2.5, które zawierają poprawkę eliminującą podatność. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp do serwera Node.js tylko do zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Next.js is a React framework for building full-stack web applications. From 13.4.13 to before 15.5.16 and 16.2.5, self-hosted applications using the built-in Node.js server can be vulnerable to server-side request forgery through crafted WebSocket upgrade requests. An attacker can cause the server to proxy requests to arbitrary internal or external destinations, which may expose internal services or cloud metadata endpoints. Vercel-hosted deployments are not affected. This vulnerability is fixed in 15.5.16 and 16.2.5.