Open Redirect in Next.js versions

TRUNG BÌNH 6.1CVE-2020-15242 · GHSA-x56p-c8cg-q435 · Công bố 08/10/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-15242 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng next.js (vercel), next.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.77%, cao hơn 55.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 9.5.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
next.js vercel	`≥ 9.5.0, < 9.5.4`	`9.5.4`
next npm	`≥ 9.5.0, < 9.5.4`	`9.5.4`

Mô tả

Impact

Affected: Users of Next.js between 9.5.0 and 9.5.3
Not affected: Deployments on Vercel (https://vercel.com) are not affected
Not affected: Deployments using next export

We recommend everyone to upgrade regardless of whether you can reproduce the issue or not.

Patches

https://github.com/vercel/next.js/releases/tag/v9.5.4

References

https://github.com/vercel/next.js/releases/tag/v9.5.4

Mô tả của NVD

Next.js versions >=9.5.0 and <9.5.4 are vulnerable to an Open Redirect. Specially encoded paths could be used with the trailing slash redirect to allow an open redirect to occur to an external site. In general, this redirect does not directly harm users although can allow for phishing attacks by redirecting to an attackers domain from a trusted domain. The issue is fixed in version 9.5.4.