CVE-2026-64645
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 12.0.0 ile 15.5.20 ve 16.0.0 ile 16.2.10 arasındaki sürümlerde, harici hedef ana bilgisayar adını istek tarafından kontrol edilen girdiden oluşturan bir rewrites() veya redirects() kuralı, kuralın ana bilgisayar adı son ekine bakılmaksızın rastgele bir ana bilgisayar adına yönlendirilebilir. Bir rewrite işlemi için Next.js, isteği söz konusu rastgele ana bilgisayara proxy eder ve yanıtı uygulamanın kaynağından sunar; bu durum Server-Side Request Forgery'ye yol açar. Bu şekilde yapılandırılmış bir redirects() kuralı ise Open Redirect zafiyetine sahiptir. Bu sorun 15.5.21 ve 16.2.11 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.21, 16.2.11 ya da sonraki bir sürüm
- next15.5.21, 16.2.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 12.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
| nextnpm | 12.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.