CVE-2026-64641

Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.

Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.

W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.

Next.js to framework React do budowania pełnostackowych aplikacji webowych. W wersjach 12.0.0 do 15.5.20 oraz 16.0.0 do 16.2.10, fetch po stronie serwera z ciałem żądania może zwrócić buforowaną treść odpowiedzi z innego żądania do tego samego URL-a, ale z innym ciałem. Poufne dane w treści odpowiedzi POST mogą wyciec do nieautoryzowanych żądań. Problem został naprawiony w wersjach 15.5.21 i 16.2.11.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, pobieranie po stronie serwera z ciałem żądania może zwrócić buforowaną odpowiedź z innego żądania do tego samego URL, ale z innym ciałem. Prowadzi to do wycieku poufnych danych z odpowiedzi POST do nieautoryzowanych żądań. Problem występuje tylko przy ciałach żądań z zestawem znaków innym niż UTF-8.

W Next.js w wersjach 13.0.0 do 15.5.20 i 16.0.0 do 16.2.10, żądania kierowane do aplikacji używających App Router z co najmniej jedną Server Action mogą prowadzić do nadmiernego zużycia pamięci, jeśli ta Server Action używa środowiska wykonawczego Edge.

Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).

W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, aplikacje używające App Router i Server Actions mogą ujawnić identyfikatory Server Action nieuwierzytelnionym użytkownikom poprzez publicznie serwowane artefakty klienckie. To ujawnienie jest zazwyczaj prymitywem rozpoznawczym, ale zwiększa ryzyko w połączeniu z innymi słabościami.

Next.js w wersjach 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z Turbopack i pojedynczym wpisem w config.i18n.locales. Specjalnie spreparowane żądania mogą ominąć uwierzytelnianie oparte na middleware/proxy.