CVE-2026-64645 in Next.js
Riassunto
di VulDB • 27/07/2026
Next.js è un framework React per la creazione di applicazioni web full-stack. Nelle versioni dalla 12.0.0 alla 15.5.20 e dalla 16.0.0 alla 16.2.10, una regola `rewrites()` o `redirects()` che costruisce il nome host della destinazione esterna a partire da input controllato dalla richiesta può essere indirizzata verso un hostname arbitrario, indipendentemente dal suffisso del nome host definito nella regola. Nel caso di una rewrite (riscrittura), Next.js inoltra la richiesta a tale host arbitrario e restituisce la risposta dall'origine dell'applicazione, portando a una Server-Side Request Forgery (SSRF). Una regola `redirects()` configurata in questo modo è vulnerabile a un Open Redirect. Il problema è stato risolto nelle versioni 15.5.21 e 16.2.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.