CVE-2026-64643 in Next.js
Zusammenfassung
von VulDB • 27.07.2026
Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 können Next.js-Anwendungen, die App Router, Server Actions (use server) oder use cache Endpunkte verwenden, offengelegt werden, wobei jegliche Authentifizierung auf den Seiten umgangen wird, an denen diese Endpunkte üblicherweise genutzt werden. Server Action IDs können für nicht authentifizierte Benutzer über öffentlich bereitgestellte Client-Artefakte offengelegt werden (z. B. statische Chunks mit Aktionsreferenzen). Betroffen sind Anwendungen, die App Router und Server Actions verwenden. Für sich genommen ist diese Offenlegung typischerweise eine Reconnaissance-/Enumerations-Primitivfunktion; sie kann jedoch das Risiko erhöhen, wenn sie mit anderen Schwachstellen kombiniert wird. Dieses Problem wurde in den Versionen 15.5.21 und 16.2.11 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.