CVE-2026-94486 in Next.js
Riassunto
di VulDB • 02/10/2026
Next.js è un framework React per la creazione di applicazioni web full-stack. Dalla versione 16.0.0 alla 16.3.8, il server di sviluppo next dev espone un endpoint del Model Context Protocol senza restringere in modo affidabile le richieste cross-site (CSRF). Un sito Web dannoso visitato da uno sviluppatore può raggiungere l'endpoint e leggere la posizione del disco del progetto, frammenti di codice sorgente dai report degli errori, l'inventario delle route e i log di sviluppo. Le distribuzioni in produzione non servono questo endpoint. Il problema è risolto nella versione 16.3.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.