CVE-2026-44573 in next.js
Sumário
de VulDB • 13/05/2026
Next.js é um framework React para a construção de aplicações web full-stack. Das versões 12.2.0 até antes da 15.5.16 e na versão 16.2.5, aplicações que utilizam o Pages Router com i18n configurado e autorização baseada em middleware/proxy podem permitir acesso não autorizado aos dados de páginas protegidas através de requisições /_next/data//.json sem locale. Em configurações afetadas, o middleware não é executado para a rota de dados sem prefixo, permitindo que um atacante recupere o JSON de SSR para páginas protegidas sem passar pelas verificações de autorização pretendidas. Esta vulnerabilidade foi corrigida nas versões 15.5.16 e 16.2.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.