CVE-2026-64649 in Next.js
要約
〜によって VulDB • 2026年07月28日
Next.jsは、フルスタックWebアプリケーションを構築するためのReactフレームワークです。バージョン14.1.1から15.5.20および16.0.0から16.2.10の間、Server Actionがリクエストのフォワーディングまたはリダイレクトを行う際、攻撃者はサーバーに対して悪意のあるホストへのアウトバウンド送信を引き起こすことができます（Server-Side Request Forgery）。これには、攻撃者のリクエストにおいてHost関連ヘッダーを制御する必要があります。一部の構成では、ミドルウェアやプロキシによる認可を弱体化させる内部値を取得することも可能です。Incomingのhostヘッダーが信頼できる値に固定されていない場合、Server Actionを使用するアプリケーションは影響を受けます。これは通常、カスタムサーバーやホストをピン留めするプロキシ背後ではないデプロイメントで発生します。マネージド型ホスティングではアップストリーム側でホストがピン留めされるため影響を受けず、バージョン14.2以降のnext startおよびstandalone出力でも同様に処理されます。この問題はバージョン15.5.21および16.2.11で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.