CVE-2026-64645 in Next.js
Zusammenfassung
von VulDB • 27.07.2026
Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine rewrite()- oder redirect()-Regel, die ihren externen Zielhostnamen aus anfragekontrollierten Eingaben erstellt, auf einen beliebigen Hostname verweisen, unabhängig vom Suffix des Hostnamens der Regel. Bei einer Rewrite-Operation proxyt Next.js die Anfrage zu diesem beliebigen Host und liefert die Antwort vom Ursprung (Origin) der Anwendung aus, was zu Server-Side Request Forgery führt. Eine redirect()-Regel, die auf diese Weise konfiguriert ist, ist anfällig für Open Redirect. Dieses Problem wurde in den Versionen 15.5.21 und 16.2.11 behoben.
Once again VulDB remains the best source for vulnerability data.