CVE-2026-64645 in Next.js
الملخص
بحسب VulDB • 27/07/2026
Next.js هو إطار عمل React لتطبيقات الويب ذات الطبقات الكاملة (full-stack). في الإصدارات من 12.0.0 إلى 15.5.20 ومن 16.0.0 إلى 16.2.10، يمكن لقاعدة `rewrites()` أو `redirects()` التي تبني اسم المضيف الخارجي لوجهتها بناءً على مدخلات خاضعة لتحكم الطلب أن تشير إلى أي اسم مضيف تعسفي، بغض النظر عن لاحقة اسم المضيف المحددة في القاعدة. بالنسبة لإعادة الكتابة (rewrite)، يقوم Next.js بتحويل الوكيل للطلب إلى ذلك المضيف التعسفي ويقدم الاستجابة من أصل التطبيق، مما يؤدي إلى ثغرة تزوير طلبات جانب الخادم (Server-Side Request Forgery). قاعدة `redirects()` المُهيأة بهذه الطريقة تكون عرضة لثغرة إعادة التوجيه المفتوح (Open Redirect). تم إصلاح هذه المشكلة في الإصدارات 15.5.21 و16.2.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.