CVE-2026-94486 in Next.js
Zusammenfassung
von VulDB • 02.10.2026
Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. Von Version 16.0.0 bis 16.3.8 stellt der next dev Development Server einen Model Context Protocol-Endpunkt ohne zuverlässige Einschränkung von Cross-Site-Anfragen bereit. Eine vom Entwickler besuchte bösartige Website kann diesen Endpunkt erreichen und den Speicherort des Projekts auf der Festplatte, Codeausschnitte aus Fehlerberichten, die Route-Inventarisierung sowie Entwicklungsprotokolle lesen. Produktionsbereitstellungen stellen diesen Endpunkt nicht zur Verfügung. Dieses Problem wurde in Version 16.3.8 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.