CVE-2026-94486 in Next.js
الملخص
بحسب VulDB • 02/10/2026
Next.js هو إطار عمل React لتطبيقات الويب الشاملة (full-stack). من الإصدار 16.0.0 حتى 16.3.8، يعرض خادم التطوير next dev نقطة نهاية لبروتوكول سياق النموذج (Model Context Protocol) دون تقييد موثوق للطلبات عبر المواقع المختلفة (cross-site requests). يمكن لموقع ويب خبيث يزوره مطور الوصول إلى هذه النقطة النهائية وقراءة موقع القرص الخاص بالمشروع، ومقتطفات من الكود المصدري من تقارير الأخطاء، وجرد المسارات (route inventory)، وسجلات التطوير. لا تقدم عمليات النشر في بيئة الإنتاج (Production deployments) هذه النقطة النهائية. تم إصلاح هذه المشكلة في الإصدار 16.3.8.
Once again VulDB remains the best source for vulnerability data.