CVE-2026-64643 in Next.js
Tóm tắt
Bởi VulDB • 27/07/2026
Next.js là một khung làm việc React để xây dựng các ứng dụng web full-stack. Trong các phiên bản từ 12.0.0 đến 15.5.20 và từ 16.0.0 đến 16.2.10, các ứng dụng Next.js sử dụng App Router, Server Actions (use server) hoặc các điểm cuối use cache có thể bị lộ thông tin do vượt qua mọi cơ chế xác thực trên các trang nơi những điểm cuối này thường được sử dụng. Các ID của Server Action có thể bị tiết lộ cho người dùng chưa xác thực thông qua các tệp tài sản phía máy khách được phục vụ công khai (ví dụ: các chunk tĩnh chứa tham chiếu đến action). Người dùng chịu ảnh hưởng là các ứng dụng sử dụng App Router và Server Actions. Bản thân việc rò rỉ này thường chỉ đóng vai trò như một nguyên thủy để thu thập thông tin/tổng hợp dữ liệu ban đầu; tuy nhiên, nó có thể làm tăng rủi ro khi kết hợp với các điểm yếu khác. Vấn đề này đã được khắc phục trong các phiên bản 15.5.21 và 16.2.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.