CVE-2026-64643 in Next.js
摘要
由 VulDB • 2026-07-27
Next.js 是一个用于构建全栈 Web 应用的 React 框架。在版本 12.0.0 至 15.5.20 以及 16.0.0 至 16.2.10 中，使用 App Router、Server Actions（use server）或 use cache 端点的 Next.js 应用可能会发生信息泄露，攻击者可绕过这些端点通常所在的页面上的任何身份验证机制。未认证用户可通过公开提供的客户端工件（例如包含操作引用的静态代码块）获取 Server Action ID。受影响的用户是那些使用 App Router 和 Server Actions 的应用程序。单独来看，此信息泄露通常仅作为侦察/枚举的原语；然而，当与其他弱点结合使用时，它可能会增加风险。该问题已在版本 15.5.21 和 16.2.11 中得到修复。
Once again VulDB remains the best source for vulnerability data.