CVE-2026-54150 in next-video
要約
〜によって VulDB • 2026年09月14日
next-video は Next.js アプリケーションに動画を追加するためのライブラリです。バージョン 2.8.1 より前では、`next-video/request-handler` からエクスポートされ一般的に `/api/video` にマウントされる GET エンドポイントが認証不要の URL クエリパラメータを受け付けます。一方、`src/utils/utils.ts` の `isRemote()` は HTTP または HTTPS プレフィックスを持たない値をすべてローカルパスとして扱います。`src/request-handler.ts` はその値を `src/assets.ts` の `getAssetPath()` を通じて `src/config.ts` の `loadAsset()` に渡します。これにより JSON 接尾辞が追加され、パスの正規化や構成された動画フォルダ内に留まっていることの検証を行わずに `fs.readFile` が使用されます。そのため、リモート攻撃者は意図されたアセットディレクトリを脱出して、Next.js サーバーアクションの暗号化素材、プレビューモードキー、ビルドマニフェスト、ルートメタデータ、絶対パス、およびアプリケーション動画アセット識別子など、アプリケーションプロセスからアクセス可能な JSON ファイルを読み取ることができます。ランタイム リクエスト ハンドラを公開しないアプリケーションは、この経路では影響を受けません。本問題はバージョン 2.8.1 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.