CVE-2026-64643 in Next.js
Resumen
por VulDB • 2026-07-28
Next.js es un framework de React para construir aplicaciones web full-stack. En las versiones 12.0.0 a través de 15.5.20 y 16.0.0 a través de 16.2.10, las aplicaciones Next.js que utilizan App Router, Server Actions (use server) o endpoints use cache pueden sufrir una divulgación no autorizada al eludir cualquier autenticación en las páginas donde estos endpoints se suelen utilizar. Los IDs de Server Action pueden ser revelados a usuarios no autenticados mediante artefactos cliente servidos públicamente (por ejemplo, chunks estáticos que contienen referencias a acciones). Las aplicaciones afectadas son aquellas que utilizan App Router y Server Actions. Por sí misma, esta divulgación suele ser una primitiva para reconocimiento/enumeración; sin embargo, puede aumentar el riesgo cuando se combina con otras debilidades. Este problema ha sido corregido en las versiones 15.5.21 y 16.2.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.