Podatności Next.js

Next.js w wersjach przed 2.4.1 ma podatność na atak typu directory traversal w przestrzeni nazw /_next i /static, co pozwala atakującym na uzyskanie wrażliwych informacji.

Next.js, framework React do budowy aplikacji full-stack, w wersjach od 13.4.0 do 15.5.24 i 16.3.3, na serwerach Windows nieprawidłowo obsługuje backslashe w segmentach tras podczas konstruowania ścieżek cache, co pozwala zdalnemu atakującemu na wyjście poza katalog cache i ujawnienie prywatnych danych, w tym klucza szyfrowania server-reference-manifest. Ujawnienie tego klucza może umożliwić zdalne wykonanie kodu. Luka naprawiona w wersjach 15.5.24 i 16.3.3.

Next.js w wersjach od 13.4.13 do 15.5.15 oraz 16.2.4 jest podatny na fałszowanie żądań po stronie serwera (SSRF) poprzez spreparowane żądania uaktualnienia WebSocket. Atakujący może zmusić serwer do proxy żądań do dowolnych wewnętrznych lub zewnętrznych celów, co może ujawnić wewnętrzne usługi lub punkty końcowe metadanych chmury.

Podatność w aplikacjach korzystających z App router z komponentem Cache może prowadzić do zdalnego wykonania kodu. Warunkiem jest obecność funkcji `use cache`, która zwraca wiele tablic typowanych.

Next.js w wersjach od 13.0.0 do 15.5.28 oraz 16.4.1 zawiera podatność, w której spreparowane żądania skierowane do aplikacji App Router z co najmniej jedną Server Action mogą powodować nadmierne zużycie CPU i blokować przetwarzanie kolejnych żądań w tym samym procesie. Aplikacje korzystające z Pages Router oraz aplikacje App Router bez Server Actions nie są dotknięte. Problem naprawiono w wersjach 15.5.28 i 16.4.1.

Next.js w wersjach od 16.3.0 do 16.3.8 współdzieli wypełnienia pamięci podręcznej dla tego samego klucza bez rozdzielania żądań trybu roboczego od zwykłych żądań. Nakładające się zwykłe żądanie może otrzymać nieuwierzytelnione nieopublikowane treści z wypełnienia trybu roboczego, a nakładające się żądanie trybu roboczego może otrzymać opublikowane treści ze zwykłego wypełnienia. Gdy zwykłe żądanie prerenderuje stronę, treści zależne od wersji roboczej mogą pozostać w wygenerowanej stronie i być serwowane późniejszym odwiedzającym do czasu rewalidacji. Luka dotyczy witryn z włączonymi Cache Components lub experimental.useCache, gdy funkcje buforowane zwracają treści zależne od wersji roboczej. Problem naprawiono w wersji 16.3.8.

Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla samodzielnie hostowanych aplikacji używających Pages Router ze statycznie generowanymi stronami lub Incremental Static Regeneration może kluczować wpis w pamięci podręcznej odpowiedzi bez wystarczającego powiązania go z trasą źródłową. Żądanie może zastąpić wpis pamięci podręcznej jednej strony treścią z innej trasy, co powoduje serwowanie nieprawidłowych treści wszystkim odwiedzającym do czasu rewalidacji. Aplikacje wdrożone na Vercel nie są dotknięte. Problem naprawiono w wersjach 15.5.27 i 16.3.8.

Next.js to framework React do budowy aplikacji full-stack. Od wersji 16.0.0 do 16.3.8 serwer deweloperski next dev udostępnia punkt końcowy Model Context Protocol bez niezawodnego ograniczania żądań między witrynami. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do punktu końcowego i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, listę tras i logi deweloperskie. Wdrożenia produkcyjne nie udostępniają tego punktu końcowego. Problem został naprawiony w wersji 16.3.8.

Next.js w wersjach od 16.0.0 do 16.3.8 w serwerze deweloperskim `next dev` udostępnia endpoint Model Context Protocol bez wystarczającego ograniczenia żądań cross-site. Złośliwa witryna odwiedzona przez dewelopera może uzyskać dostęp do endpointu i odczytać lokalizację dysku projektu, fragmenty kodu źródłowego z raportów błędów, spis tras oraz logi deweloperskie. Wdrożenia produkcyjne nie serwują tego endpointu. Problem naprawiono w wersji 16.3.8.

Next.js w wersjach od 15.0.0 do 15.5.27 oraz 16.3.8 dla aplikacji z catch-all stroną na poziomie głównym i statycznie generowanymi trasami lub Incremental Static Regeneration może używać współdzielonego klucza pamięci podręcznej odpowiedzi, który jest niewystarczająco ograniczony do trasy źródłowej. Pojedyncze nieuwierzytelnione spreparowane żądanie może zatruć tę pamięć podręczną, powodując podmianę treści między użytkownikami lub trwałą odmowę usługi do czasu rewalidacji lub wymiany zatrutego wpisu. Problem naprawiono w wersjach 15.5.27 i 16.3.8.

Next.js w wersjach od 16.0.0 do 16.3.8 ma podatność w optymalizacji obrazów, która pozwala na ominięcie listy dozwolonych adresów URL i dostęp do prywatnych adresów IP. Atakujący może kontrolować rozwiązywanie DNS dla zdalnego URL, który pasuje do wzorca images.remotePatterns.

Podatność w Next.js w wersjach od 16.3.0 do 16.3.7 powoduje nieprawidłowe kluczowanie pamięci podręcznej dla funkcji 'use cache', co może prowadzić do wycieku wartości zwracanych między różnymi parametrami root.

W Next.js, gdy Server Action przekierowuje lub forwarduje żądanie, atakujący może spowodować wysłanie tego żądania do złośliwego hosta (SSRF). W niektórych konfiguracjach możliwe jest również uzyskanie wewnętrznych wartości osłabiających autoryzację proxy/middleware.

Next.js to framework React do budowania pełnostackowych aplikacji webowych. W wersjach 12.0.0 do 15.5.20 oraz 16.0.0 do 16.2.10, fetch po stronie serwera z ciałem żądania może zwrócić buforowaną treść odpowiedzi z innego żądania do tego samego URL-a, ale z innym ciałem. Poufne dane w treści odpowiedzi POST mogą wyciec do nieautoryzowanych żądań. Problem został naprawiony w wersjach 15.5.21 i 16.2.11.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, pobieranie po stronie serwera z ciałem żądania może zwrócić buforowaną odpowiedź z innego żądania do tego samego URL, ale z innym ciałem. Prowadzi to do wycieku poufnych danych z odpowiedzi POST do nieautoryzowanych żądań. Problem występuje tylko przy ciałach żądań z zestawem znaków innym niż UTF-8.

W Next.js w wersjach 13.0.0 do 15.5.20 i 16.0.0 do 16.2.10, żądania kierowane do aplikacji używających App Router z co najmniej jedną Server Action mogą prowadzić do nadmiernego zużycia pamięci, jeśli ta Server Action używa środowiska wykonawczego Edge.

Next.js w wersjach 12.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w regułach rewrites()/redirects() z zewnętrznym hostem pochodzącym z żądania. Atakujący może przekierować żądanie na dowolny host, co prowadzi do SSRF (dla rewrite) lub Open Redirect (dla redirect).

W Next.js w wersjach 15.5.0 do 15.5.20 i 16.0.0 do 16.2.10, podczas samodzielnego hostowania z domyślnym loaderem obrazów, API optymalizacji obrazów może optymalizować zdalnie hostowane obrazy, jeśli skonfigurowano (domyślnie wyłączone). Jeśli obrazy zawierają złośliwą treść, mogą powodować wyczerpanie CPU w endpointach /_next/image. Dotyczy tylko config.images.remotePatterns.

W Next.js w wersjach 12.0.0 do 15.5.20 i 16.0.0 do 16.2.10, aplikacje używające App Router i Server Actions mogą ujawnić identyfikatory Server Action nieuwierzytelnionym użytkownikom poprzez publicznie serwowane artefakty klienckie. To ujawnienie jest zazwyczaj prymitywem rozpoznawczym, ale zwiększa ryzyko w połączeniu z innymi słabościami.

Next.js w wersjach 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z Turbopack i pojedynczym wpisem w config.i18n.locales. Specjalnie spreparowane żądania mogą ominąć uwierzytelnianie oparte na middleware/proxy.

Next.js w wersjach 13.0.0-15.5.20 i 16.0.0-16.2.10 ma podatność w aplikacjach używających App Router z co najmniej jedną Server Action. Specjalnie spreparowane żądania mogą spowodować nadmierne zużycie CPU, blokując przetwarzanie kolejnych żądań.

Podatność w Next.js dotyczy niewłaściwego zastosowania poprawki dla CVE-2026-44575 w pliku middleware.ts podczas korzystania z Turbopack. Problem występuje w wersjach od 15.2.0 do 15.5.18 oraz 16.2.6.

W Next.js w wersjach od 13.4.6 do przed 15.5.16 oraz 16.2.5 odpowiedzi React Server Component mogą być podatne na zatruwanie pamięci podręcznej w środowiskach korzystających ze współdzielonych cache z niewystarczającym partycjonowaniem odpowiedzi. Kolizje w wartości _rsc mogą pozwolić atakującemu na zatrucie wpisów cache, przez co użytkownicy otrzymają niewłaściwy wariant odpowiedzi dla danego URL.

Next.js to framework React do budowy aplikacji full-stack. W wersjach od 13.4.0 do przed 15.5.16 oraz 16.2.5 aplikacje App Router korzystające z nonce CSP mogą być podatne na przechowywany cross-site scripting przy wdrożeniu za współdzielonymi cache'ami. Zniekształcone wartości nonce pochodzące z nagłówków żądań mogły być odzwierciedlane w renderowanym HTML w niebezpieczny sposób, co pozwalało zatruć odpowiedzi w cache i spowodować wykonanie skryptu u późniejszych odwiedzających.

Next.js to framework React do budowy aplikacji full-stack. W wersjach od 13.0.0 do przed 15.5.16 oraz 16.2.5 aplikacje używające skryptów beforeInteractive wraz z niezaufaną treścią mogą być podatne na cross-site scripting. W podatnych wersjach serializowana treść skryptu nie była bezpiecznie escapowana przed osadzeniem w dokumencie, co mogło pozwolić danym kontrolowanym przez atakującego na wyjście z zamierzonego kontekstu skryptu i wykonanie dowolnego JavaScriptu w przeglądarce odwiedzającego.

Next.js, framework React do budowania pełnostackowych aplikacji webowych, zawiera podatność na wyczerpanie połączeń poprzez spreparowane żądania POST do akcji serwera. Problem występuje w aplikacjach korzystających z Partial Prerendering przez funkcję Cache Components, gdzie złośliwe żądanie może wywołać zakleszczenie obsługi treści żądania, pozostawiając połączenia otwarte na dłuższy czas.

Next.js w wersjach od 10.0.0 do 15.5.15 oraz 16.2.4 podczas samodzielnego hostowania z domyślnym loaderem obrazów nie ogranicza rozmiaru lokalnych zasobów pobieranych przez API optymalizacji obrazów. Atakujący może wykorzystać endpoint /_next/image do żądania dużych plików, co prowadzi do wyczerpania pamięci (out-of-memory).

W aplikacjach Next.js wykorzystujących React Server Components, w wersjach od 14.2.0 do przed 15.5.16 i 16.2.5, występuje luka umożliwiająca zatrucie współdzielonego cache, gdy cache nie rozdziela poprawnie wariantów odpowiedzi. Atakujący może spowodować, że późniejsi użytkownicy otrzymają ładunki komponentów zamiast oczekiwanego HTML.

Podatność w Next.js od wersji 15.2.0 do 15.5.16 oraz 16.2.5 umożliwia ominięcie kontroli autoryzacji w aplikacjach korzystających z App Router. Specjalnie spreparowane żądania .rsc i segment-prefetch mogą prowadzić do chronionych stron bez przejścia przez reguły middleware.

Next.js w wersjach od 15.4.0 do 15.5.15 oraz 16.2.0 do 16.2.4 zawiera podatność umożliwiającą ominięcie autoryzacji w aplikacjach używających middleware do ochrony dynamicznych tras. Specjalnie spreparowane parametry zapytania mogą zmienić wartość dynamicznej trasy widzianej przez stronę, pozostawiając widoczny adres URL bez zmian, co pozwala na wyświetlenie chronionej treści bez przejścia oczekiwanej kontroli middleware.

Podatność w Next.js umożliwia nieautoryzowany dostęp do danych SSR chronionych stron przez ominięcie middleware. Problem dotyczy wersji od 12.2.0 do 15.5.16 i 16.2.5, gdy skonfigurowano i18n oraz autoryzację opartą na middleware.

Next.js w wersjach 12.2.0–15.5.15 i 16.2.4 pozwala zewnętrznemu klientowi wysłać nagłówek x-nextjs-data w zwykłym żądaniu do ścieżki obsługiwanej przez middleware zwracający przekierowanie. Middleware może potraktować żądanie jako żądanie danych i zastąpić nagłówek Location wewnętrznym x-nextjs-redirect, którego przeglądarki nie obsługują. Jeśli aplikacja jest za CDN lub reverse proxy cache'ującym odpowiedzi 3xx bez uwzględnienia tego nagłówka, pojedyncze żądanie atakującego może zatruć pamięć podręczną i spowodować odmowę usługi dla tej ścieżki.

W Next.js przed wersjami 14.2.32 i 15.4.7 użycie funkcji next() bez jawnego przekazania obiektu żądania mogło prowadzić do SSRF w aplikacjach self-hosted, które nieprawidłowo przekazywały nagłówki dostarczone przez użytkownika. Podatność została naprawiona w wersjach 14.2.32 i 15.4.7.

Next.js w wersjach przed 14.2.31 oraz 15.0.0–15.4.5 ma podatność cache key confusion w API optymalizacji obrazów. Odpowiedzi z tras API zależne od nagłówków żądań (np. Cookie, Authorization) mogą być błędnie buforowane i serwowane nieuprawnionym użytkownikom.

Next.js Image Optimization w wersjach przed 14.2.31 oraz od 15.0.0 do przed 15.4.5 jest podatne na wstrzyknięcie treści. Atakujący może dostarczyć zewnętrzne źródła obrazów, które wywołują pobieranie plików o dowolnej treści i nazwach, co może być wykorzystane do phishingu lub dostarczania złośliwych plików.