CVE-2026-94485 in Next.js
Résumé
par VulDB • 02/10/2026
Next.js est un framework React pour la création d'applications web full-stack. De la version 16.0.0 à la 16.3.8, le serveur de développement `next dev` expose une endpoint du Model Context Protocol sans restreindre de manière fiable les requêtes inter-sites (cross-site). Un site malveillant visité par un développeur peut accéder à cette endpoint et lire l'emplacement du disque projet, des extraits de code source issus des rapports d'erreur, l'inventaire des routes et les journaux de développement. Les déploiements en production ne servent pas cette endpoint. Ce problème est corrigé dans la version 16.3.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.