CVE-2026-64643
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 12.0.0 ile 15.5.20 ve 16.0.0 ile 16.2.10 arasındaki sürümlerde, App Router, Server Actions (use server) veya use cache uç noktalarını kullanan Next.js uygulamalarında, bu uç noktaların genellikle kullanıldığı sayfalardaki tüm kimlik doğrulamalar atlanarak bilgi ifşası gerçekleşebilir. Server Action ID'leri, herkese açık olarak sunulan istemci artifaktları (örneğin, eylem referanslarını içeren statik parçalar) aracılığıyla kimliği doğrulanmamış kullanıcılara ifşa edilebilir. Etkilenen kullanıcılar, App Router ve Server Actions kullanan uygulamalardır. Tek başına bu ifşa işlemi tipik olarak bir keşif/numaralandırma primitifidir; ancak diğer zayıflıklarla birleştiğinde riski artırabilir. Bu sorun 15.5.21 ve 16.2.11 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.21, 16.2.11 ya da sonraki bir sürüm
- next15.5.21, 16.2.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 13.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
| nextnpm | 13.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.