Tóm tắt nhanh
- CVE-2026-64642 là lỗ hổng mức CAO (CVSS 8.2) ảnh hưởng next.js (vercel), next.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.64%, cao hơn 50.4% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 16.2.11 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| next.js | ≥ 16.0.0, < 16.2.11
| 16.2.11
|
| next npm | ≥ 16.0.0, < 16.2.11
| 16.2.11
|
Mô tả
Impact
Crafted requests targeting Next.js applications using App Router built with Turbopack and a single entry in config.i18n.locales can bypass middleware/proxy based authentication.
Workarounds
If you cannot upgrade immediately, enforce authorization in the page's server-side data path instead of relying solely on middleware.
Mô tả của NVD
Next.js is a React framework for building full-stack web applications. In versions 16.0.0 through 16.2.10, crafted requests targeting Next.js applications using App Router built with Turbopack and a single entry in config.i18n.locales can bypass middleware/proxy based authentication. This issue has been fixed in version 16.2.11.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí