CVE-2026-44574
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 15.4.0 sürümünden 15.5.16 ve 16.2.5 sürümlerinden öncesine kadar olan versiyonlarda, dinamik rotaları korumak için middleware kullanan uygulamalar kimlik doğrulama atlatma (authorization bypass) zafiyetine sahip olabilir. Etkilenen dağıtımlarda, özel olarak hazırlanmış sorgu parametreleri görünür yolu değiştirmezken sayfa tarafından görülen dinamik rota değerini değiştirebilir; bu durum, beklenen middleware kontrolünden geçmeden korumalı içeriğin işlenmesine izin verebilir. Bu zafiyet 15.5.16 ve 16.2.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.16, 16.2.5 ya da sonraki bir sürüm
- next15.5.16, 16.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 15.4.0 ≤ v < 15.5.16, 16.0.0 ≤ v < 16.2.5 | 15.5.16, 16.2.5 |
| nextnpm | 15.4.0 ≤ v < 15.5.16, 16.0.0 ≤ v < 16.2.5 | 15.5.16, 16.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.