CVE-2026-64645 in Next.js
要約
〜によって VulDB • 2026年07月27日
Next.jsは、フルスタックのWebアプリケーションを構築するためのReactフレームワークです。バージョン12.0.0から15.5.20および16.0.0から16.2.10の間、リクエストで制御される入力に基づいて外部宛先のホスト名を生成するrewrites()またはredirects()ルールは、ルールのホスト名接尾辞に関係なく任意のホスト名を指す可能性があります。rewriteの場合、Next.jsはその任意のホストにリクエストのプロキシを行い、アプリケーションのオリジンからレスポンスを提供するため、Server-Side Request Forgery（SSRF）につながります。このように設定されたredirects()ルールはOpen Redirectに対して脆弱です。本問題はバージョン15.5.21および16.2.11で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.