CVE-2026-44581
ŚrednieStreszczenie
Next.js to framework React do budowania aplikacji webowych typu full-stack. Aplikacje korzystające z App Router w wersjach od 13.4.0 do przed 15.5.16 oraz 16.2.5 mogą być podatne na przechowywane ataki cross-site scripting (XSS) przy użyciu nonce'ów CSP, gdy są wdrażane za pośrednictwem wspólnych pamięci podręcznych.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Wykorzystanie tej podatności może mieć poważne konsekwencje dla bezpieczeństwa aplikacji i danych.
Rekomendacja
Zaleca się aktualizację Next.js do wersji 15.5.16 lub 16.2.5 oraz przegląd konfiguracji CSP, aby upewnić się, że nonce'y są poprawnie generowane i stosowane.
Oryginalny opis (angielski, źródło NVD)
Next.js is a React framework for building full-stack web applications. From 13.4.0 to before 15.5.16 and 16.2.5, App Router applications that rely on CSP nonces can be vulnerable to stored cross-site scripting when deployed behind shared caches. In affected versions, malformed nonce values derived f