Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up

CAO 7.5CVE-2026-45109 · GHSA-26hh-7cqf-hhc6 · Công bố 13/05/2026 · cập nhật 26/10/2026

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
next.js vercel	`≥ 15.2.0, < 15.5.18≥ 16.0.0, < 16.2.6`	`15.5.1816.2.6`
next npm	`≥ 15.2.0, < 15.5.18≥ 16.0.0, < 16.2.6`	`15.5.1816.2.6`

Mô tả

Impact

It was found that the fix addressing CVE-2026-44575 did not apply to middleware.ts with Turbopack. Refer to CVE-2026-44575 for further details.

References

CVE CVE-2026-44575

Mô tả của NVD

Next.js is a React framework for building full-stack web applications. From 15.2.0 to before 15.5.18 and 16.2.6, it was found that the fix addressing CVE-2026-44575 did not apply to middleware.ts with Turbopack. This vulnerability is fixed in 15.5.18 and 16.2.6.

Tham khảo

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí