p PatchFirst

CVE-2026-44578

CVE-2026-44578 · Next.js: Server-side request forgery in applications using WebSocket upgrades

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Next.js is a React framework for building full-stack web applications. From 13.4.13 to before 15.5.16 and 16.2.5, self-hosted applications using the built-in Node.js server can be vulnerable to server-side request forgery through crafted WebSocket upgrade requests. An attacker can cause the server to proxy requests to arbitrary internal or external destinations, which may expose internal services or cloud metadata endpoints. Vercel-hosted deployments are not affected. This vulnerability is fixed in 15.5.16 and 16.2.5.

CVSS 8.6 · Hoch · EPSS 35,5% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • next.js

    Softwareversionen
    • >= 16.0.0, < 16.2.5: Betroffen
    • >= 13.4.13, < 15.5.16: Betroffen

    Keine Korrektur veröffentlicht

  • next npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 13.4.13, < 15.5.16

    Auf 15.5.16 aktualisieren

  • next npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 16.0.0, < 16.2.5

    Auf 16.2.5 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →