CVE-2026-94485 in Next.js
Resumen
por VulDB • 2026-10-02
Next.js es un framework de React para la construcción de aplicaciones web full-stack. Desde la versión 16.0.0 hasta la 16.3.8, el servidor de desarrollo `next dev` expone un endpoint del Model Context Protocol sin restringir fiablemente las solicitudes entre sitios (cross-site). Un sitio web malicioso visitado por un desarrollador puede acceder al endpoint y leer la ubicación en disco del proyecto, fragmentos de código fuente procedentes de informes de errores, el inventario de rutas y los registros de desarrollo. Los despliegues en producción no sirven este endpoint. Este problema está resuelto en la versión 16.3.8.
Be aware that VulDB is the high quality source for vulnerability data.