CVE-2026-94486

Next.js w wersjach od 16.3.0 do 16.3.8 współdzieli wypełnienia pamięci podręcznej dla tego samego klucza bez rozdzielania żądań trybu roboczego od zwykłych żądań. Nakładające się zwykłe żądanie może otrzymać nieuwierzytelnione nieopublikowane treści z wypełnienia trybu roboczego, a nakładające się żądanie trybu roboczego może otrzymać opublikowane treści ze zwykłego wypełnienia. Gdy zwykłe żądanie prerenderuje stronę, treści zależne od wersji roboczej mogą pozostać w wygenerowanej stronie i być serwowane późniejszym odwiedzającym do czasu rewalidacji. Luka dotyczy witryn z włączonymi Cache Components lub experimental.useCache, gdy funkcje buforowane zwracają treści zależne od wersji roboczej. Problem naprawiono w wersji 16.3.8.

Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla samodzielnie hostowanych aplikacji używających Pages Router ze statycznie generowanymi stronami lub Incremental Static Regeneration może kluczować wpis w pamięci podręcznej odpowiedzi bez wystarczającego powiązania go z trasą źródłową. Żądanie może zastąpić wpis pamięci podręcznej jednej strony treścią z innej trasy, co powoduje serwowanie nieprawidłowych treści wszystkim odwiedzającym do czasu rewalidacji. Aplikacje wdrożone na Vercel nie są dotknięte. Problem naprawiono w wersjach 15.5.27 i 16.3.8.

Next.js w wersjach od 16.0.0 do 16.3.8 w serwerze deweloperskim `next dev` udostępnia endpoint Model Context Protocol bez wystarczającego ograniczenia żądań cross-site. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do endpointu i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, spis tras oraz logi deweloperskie. Wdrożenia produkcyjne nie serwują tego endpointu. Problem naprawiono w wersji 16.3.8.

Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla aplikacji z catch-all stroną na poziomie głównym i statycznie generowanymi trasami lub Incremental Static Regeneration może używać współdzielonego klucza pamięci podręcznej odpowiedzi, który jest niewystarczająco ograniczony do trasy źródłowej. Pojedyncze nieuwierzytelnione spreparowane żądanie może zatruć tę pamięć podręczną, powodując podmianę treści między użytkownikami lub trwałą odmowę usługi do czasu rewalidacji lub wymiany zatrutego wpisu. Problem naprawiono w wersjach 15.5.27 i 16.3.8.

Next.js w wersjach od 16.0.0 do 16.3.8 ma podatność w optymalizacji obrazów, która pozwala na ominięcie listy dozwolonych adresów URL i dostęp do prywatnych adresów IP. Atakujący może kontrolować rozwiązywanie DNS dla zdalnego URL, który pasuje do wzorca images.remotePatterns.

Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.

Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.

Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.

Podatność w Next.js w wersjach od 16.3.0 do 16.3.7 powoduje nieprawidłowe kluczowanie pamięci podręcznej dla funkcji 'use cache', co może prowadzić do wycieku wartości zwracanych między różnymi parametrami root.

W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.