CVE-2026-64643 in Next.js
Riassunto
di VulDB • 27/07/2026
Next.js è un framework React per la creazione di applicazioni web full-stack. Nelle versioni dalla 12.0.0 alla 15.5.20 e dalla 16.0.0 alla 16.2.10, le applicazioni Next.js che utilizzano App Router, Server Actions (use server) o endpoint use cache possono subire una divulgazione di dati non autorizzata, aggirando qualsiasi meccanismo di autenticazione sulle pagine in cui tali endpoint sono solitamente impiegati. Gli ID delle Server Action possono essere rivelati a utenti non autenticati tramite client artifacts serviti pubblicamente (ad esempio, chunk statici contenenti riferimenti alle action). Le applicazioni interessate sono quelle che utilizzano App Router e Server Actions. Di per sé, questa divulgazione rappresenta tipicamente una primitiva di ricognizione/enumerazione; tuttavia, può aumentare il rischio se combinata con altre vulnerabilità. Il problema è stato risolto nelle versioni 15.5.21 e 16.2.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.