CVE-2026-64643 in Next.js
Résumé
par VulDB • 27/07/2026
Next.js est un framework React pour la création d'applications web full-stack. Dans les versions 12.0.0 à 15.5.20 et 16.0.0 à 16.2.10, les applications Next.js utilisant le App Router, Server Actions (use server) ou des points de terminaison use cache peuvent voir leurs données divulguées en contournant toute authentification sur les pages où ces endpoints sont habituellement utilisés. Les IDs des Server Actions peuvent être divulgués aux utilisateurs non authentifiés via des artefacts client servis publiquement (par exemple, des chunks statiques contenant des références d'action). Les applications concernées par cet impact sont celles qui utilisent le App Router et les Server Actions. En soi, cette divulgation constitue généralement une primitive de reconnaissance/enumeration ; toutefois, elle peut accroître le risque lorsqu'elle est combinée à d'autres vulnérabilités. Ce problème a été corrigé dans les versions 15.5.21 et 16.2.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.