VDB-351436 · CVE-2026-27977 · GHSA-jcc7-9wpm-mj36

vercel next.js bis 16.1.6 /_next/webpack-hmr

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.3	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in vercel next.js bis 16.1.6 entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Datei /_next/webpack-hmr. Durch das Beeinflussen mit unbekannten Daten kann eine unbekannte Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2026-27977 bekannt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

In vercel next.js bis 16.1.6 wurde eine problematische Schwachstelle gefunden. Das betrifft ein unbekannter Codeblock der Datei /_next/webpack-hmr. CWE definiert das Problem als CWE-1385. Mit Auswirkungen muss man rechnen für Vertraulichkeit und Integrität. CVE fasst zusammen:

Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and prior to version 16.1.7, in `next dev`, cross-site protection for internal websocket endpoints could treat `Origin: null` as a bypass case even if `allowedDevOrigins` is configured, allowing privacy-sensitive/opaque contexts (for example sandboxed documents) to connect unexpectedly. If a dev server is reachable from attacker-controlled content, an attacker may be able to connect to the HMR websocket channel and interact with dev websocket traffic. This affects development mode only. Apps without a configured `allowedDevOrigins` still allow connections from any origin. The issue is fixed in version 16.1.7 by validating `Origin: null` through the same cross-site origin-allowance checks used for other origins. If upgrading is not immediately possible, do not expose `next dev` to untrusted networks and/or block websocket upgrades to `/_next/webpack-hmr` when `Origin` is `null` at the proxy.

Das Advisory kann von github.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 25.02.2026 mit CVE-2026-27977 vorgenommen. Sie gilt als leicht ausnutzbar. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 303199 (Next.js Framework 16.0.1 < 16.1.7 Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Ein Upgrade auf die Version 16.1.7 vermag dieses Problem zu beheben. Eine neue Version kann von github.com bezogen werden. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 862f9b9bb41d235e0d8cf44aa811e7fd118cee2a beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (303199) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

JavaScript Library

Hersteller

vercel

Name

next.js

Version

Lizenz

Open-Source

Webseite

Produkt: https://github.com/vercel/next.js/

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 5.3

VulDB Base Score: 5.4
VulDB Temp Score: 5.2
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.4
NVD Vector: 🔒

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Unbekannt
CWE: CWE-1385 / CWE-346 / CWE-345
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Nessus ID: 303199
Nessus Name: Next.js Framework 16.0.1 < 16.1.7 Multiple Vulnerabilities

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: next.js 16.1.7
Patch: 862f9b9bb41d235e0d8cf44aa811e7fd118cee2a

Timelineinfo

25.02.2026 CVE zugewiesen
18.03.2026 +21 Tage Advisory veröffentlicht
18.03.2026 +0 Tage VulDB Eintrag erstellt
23.03.2026 +5 Tage VulDB Eintrag letzte Aktualisierung