CVE-2026-64649
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 14.1.1 ile 15.5.20 ve 16.0.0 ile 16.2.10 arasındaki sürümlerde, bir Server Action bir isteği yönlendirdiğinde veya yeniden yönlendirdiğinde, bir saldırgan sunucunun bu giden isteği kötü amaçlı bir ana bilgisayara göndermesine neden olabilir (Server-Side Request Forgery). Bu durum, saldırganın isteğinin Host ile ilişkili başlıkları kontrol etmesini gerektirir. Bazı yapılandırmalarda, ara yazılım/vekil sunucu yetkilendirmesini zayıflatan dahili değerleri elde etmek de mümkündür. Server Action kullanan uygulamalar, gelen host başlığı güvenilir bir değere sabitlenmediğinde etkilenir. Bu durum genellikle özel sunucularda veya host başlığını sabitleyen bir vekil sunucu arkasında olmayan dağıtımlarda meydana gelir. Yönetilen barındırma hizmetleri host başlığını üst akışta sabitler ve etkilenmez; next start ve standalone çıktısı da sürüm 14.2'den itibaren aynısını yapar. Bu sorun 15.5.21 ve 16.2.11 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.21, 16.2.11 ya da sonraki bir sürüm
- next15.5.21, 16.2.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 14.1.1 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
| nextnpm | 14.1.1 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.