CVE-2026-64648
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Next.js to framework React do budowania pełnostackowych aplikacji webowych. W wersjach 12.0.0 do 15.5.20 oraz 16.0.0 do 16.2.10, fetch po stronie serwera z ciałem żądania może zwrócić buforowaną treść odpowiedzi z innego żądania do tego samego URL-a, ale z innym ciałem. Poufne dane w treści odpowiedzi POST mogą wyciec do nieautoryzowanych żądań. Problem został naprawiony w wersjach 15.5.21 i 16.2.11.
Ocena ryzyka
Podatność umożliwia wyciek poufnych danych z odpowiedzi POST do nieuprawnionych użytkowników, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Next.js do wersji 15.5.21 lub 16.2.11 (lub nowszej).
Inne podatności w Next.js
Zobacz wszystkie- CVE-2017-16877Wysokie
Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.
- CVE-2026-44578Wysokie
Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.
- CVE-2026-64649Średnie
W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.
- CVE-2026-64647Średnie
W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, pobieranie po stronie serwera z ciałem żądania może zwrócić buforowaną odpowiedź z innego żądania do tego samego URL, ale z innym ciałem. Prowadzi to do wycieku poufnych danych z odpowiedzi POST do nieautoryzowanych żądań. Problem występuje tylko przy ciałach żądań z zestawem znaków innym niż UTF-8.
- CVE-2026-64646Średnie
W Next.js w wersjach 13.0.0 do 15.5.20 i 16.0.0 do 16.2.10, żądania kierowane do aplikacji używających App Router z co najmniej jedną Server Action mogą prowadzić do nadmiernego zużycia pamięci, jeśli ta Server Action używa środowiska wykonawczego Edge.
- CVE-2026-64645Średnie
Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).
- CVE-2026-64644Średnie
W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.
- CVE-2026-64643Średnie
W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, aplikacje używające App Router i Server Actions mogą ujawnić identyfikatory Server Action nieuwierzytelnionym użytkownikom poprzez publicznie serwowane artefakty klienckie. To ujawnienie jest zazwyczaj prymitywem rozpoznawczym, ale zwiększa ryzyko w połączeniu z innymi słabościami.
- CVE-2026-64642Wysokie
Next.js w wersjach 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z Turbopack i pojedynczym wpisem w config.i18n.locales. Specjalnie spreparowane żądania mogą ominąć uwierzytelnianie oparte na middleware/proxy.
- CVE-2026-64641Wysokie
Next.js w wersjach 13.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z co najmniej jedną Server Action. Specjalnie spreparowane żądania mogą spowodować nadmierne zużycie CPU, blokując przetwarzanie kolejnych żądań.
Oryginalny opis (angielski, źródło NVD)
Next.js is a React framework for building full-stack web applications. In versions 12.0.0 through 15.5.20 and 16.0.0 through 16.2.10, a server-side fetch with a request body may return a cached response body from a different request to the same URL but different body. Confidential data in the POST's response body would then leak to unauthorized requests. Though the request itself will not be deduped. This only applies to fetch calls with a request that has a different init than the one passed to fetch. A safe request would be: fetch(new Request(init), init). An unsafe request would be: fetch(new Request(init), aDifferentInit). This issue has been fixed in versions 15.5.21 and 16.2.11.