CVE-2026-94485 in Next.js
要約
〜によって VulDB • 2026年10月02日
Next.jsは、フルスタックのWebアプリケーションを構築するためのReactフレームワークです。バージョン16.0.0から16.3.8まで、`next dev`開発サーバーは、クロスサイトリクエストに対する制限が十分に機能しない状態でModel Context Protocol（MCP）エンドポイントを公開していました。開発者が訪問する悪意のあるウェブサイトはこのエンドポイントにアクセスし、プロジェクトのディスクパス、エラーレポートからのソースコードスニペット、ルーティング一覧、および開発ログを読み取ることができます。本番環境でのデプロイメントではこのエンドポイントは提供されません。この問題はバージョン16.3.8で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.