Podatności Next.js

Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.

Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.

W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.

Next.js to framework React do budowania pełnostackowych aplikacji webowych. W wersjach 12.0.0 do 15.5.20 oraz 16.0.0 do 16.2.10, fetch po stronie serwera z ciałem żądania może zwrócić buforowaną treść odpowiedzi z innego żądania do tego samego URL-a, ale z innym ciałem. Poufne dane w treści odpowiedzi POST mogą wyciec do nieautoryzowanych żądań. Problem został naprawiony w wersjach 15.5.21 i 16.2.11.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, pobieranie po stronie serwera z ciałem żądania może zwrócić buforowaną odpowiedź z innego żądania do tego samego URL, ale z innym ciałem. Prowadzi to do wycieku poufnych danych z odpowiedzi POST do nieautoryzowanych żądań. Problem występuje tylko przy ciałach żądań z zestawem znaków innym niż UTF-8.

W Next.js w wersjach 13.0.0 do 15.5.20 i 16.0.0 do 16.2.10, żądania kierowane do aplikacji używających App Router z co najmniej jedną Server Action mogą prowadzić do nadmiernego zużycia pamięci, jeśli ta Server Action używa środowiska wykonawczego Edge.

Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).

W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, aplikacje używające App Router i Server Actions mogą ujawnić identyfikatory Server Action nieuwierzytelnionym użytkownikom poprzez publicznie serwowane artefakty klienckie. To ujawnienie jest zazwyczaj prymitywem rozpoznawczym, ale zwiększa ryzyko w połączeniu z innymi słabościami.

Next.js w wersjach 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z Turbopack i pojedynczym wpisem w config.i18n.locales. Specjalnie spreparowane żądania mogą ominąć uwierzytelnianie oparte na middleware/proxy.

Next.js w wersjach 13.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z co najmniej jedną Server Action. Specjalnie spreparowane żądania mogą spowodować nadmierne zużycie CPU, blokując przetwarzanie kolejnych żądań.

Podatność w Next.js dotyczy niewłaściwego zastosowania poprawki dla CVE-2026-44575 w pliku middleware.ts podczas korzystania z Turbopack. Problem występuje w wersjach od 15.2.0 do 15.5.18 oraz 16.2.6.

Next.js, framework React do budowania pełnostackowych aplikacji webowych, zawiera podatność na wyczerpanie połączeń poprzez spreparowane żądania POST do akcji serwera. Problem występuje w aplikacjach korzystających z Partial Prerendering przez funkcję Cache Components, gdzie złośliwe żądanie może wywołać zakleszczenie obsługi treści żądania, pozostawiając połączenia otwarte na dłuższy czas.

Next.js w wersjach od 10.0.0 do 15.5.15 oraz 16.2.4 podczas samodzielnego hostowania z domyślnym loaderem obrazów nie ogranicza rozmiaru lokalnych zasobów pobieranych przez API optymalizacji obrazów. Atakujący może wykorzystać endpoint /_next/image do żądania dużych plików, co prowadzi do wyczerpania pamięci (out-of-memory).

Podatność w Next.js od wersji 15.2.0 do 15.5.16 oraz 16.2.5 umożliwia ominięcie kontroli autoryzacji w aplikacjach korzystających z App Router. Specjalnie spreparowane żądania .rsc i segment-prefetch mogą prowadzić do chronionych stron bez przejścia przez reguły middleware.

Next.js w wersjach od 15.4.0 do 15.5.15 oraz 16.2.0 do 16.2.4 zawiera podatność umożliwiającą ominięcie autoryzacji w aplikacjach używających middleware do ochrony dynamicznych tras. Specjalnie spreparowane parametry zapytania mogą zmienić wartość dynamicznej trasy widzianej przez stronę, pozostawiając widoczny adres URL bez zmian, co pozwala na wyświetlenie chronionej treści bez przejścia oczekiwanej kontroli middleware.

Podatność w Next.js umożliwia nieautoryzowany dostęp do danych SSR chronionych stron przez ominięcie middleware. Problem dotyczy wersji od 12.2.0 do 15.5.16 i 16.2.5, gdy skonfigurowano i18n oraz autoryzację opartą na middleware.