CVE-2026-94485 in Next.js
Сводка
по VulDB • 02.10.2026
Next.js — это React-фреймворк для создания полнофункциональных веб-приложений (full-stack). В версиях от 16.0.0 до 16.3.8 включительно сервер разработки `next dev` предоставляет конечную точку протокола Model Context Protocol без надежной защиты от межсайтовых запросов (cross-site requests). Злоумышленник, заставивший разработчика посетить вредоносный веб-сайт, может получить доступ к этой конечной точке и прочитать расположение диска проекта, фрагменты исходного кода из отчетов об ошибках, список маршрутов (route inventory) и журналы разработки. В продакшен-развертываниях эта конечная точка не обслуживается. Проблема исправлена в версии 16.3.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.