CVE-2026-44573
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 12.2.0 sürümünden 15.5.16 ve 16.2.5 sürümlerinden öncesine kadar olan versiyonlarda; i18n yapılandırılmış Pages Router kullanan ve middleware/proxy tabanlı yetkilendirme uygulayan uygulamalar, yerel ayar içermeyen (locale-less) /_next/data/<buildId>/<page>.json istekleri aracılığıyla korumalı sayfa verilerine yetkisiz erişime izin verebilir. Etkilenen yapılandırmalarda, middleware ön ek içermeyen veri rotası için çalışmaz ve bu durum, bir saldırganın hedeflenen yetkilendirme kontrollerini geçmeden korumalı sayfalar için SSR JSON verilerini almasına olanak tanır. Bu güvenlik açığı 15.5.16 ve 16.2.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.16, 16.2.5 ya da sonraki bir sürüm
- next15.5.16, 16.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 12.2.0 ≤ v < 15.5.16, 16.0.0 ≤ v < 16.2.5 | 15.5.16, 16.2.5 |
| nextnpm | 12.2.0 ≤ v < 15.5.16, 16.0.0 ≤ v < 16.2.5 | 15.5.16, 16.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.