Zaloguj się
Deutsch English Español Polski
Niska

Next.js: null origin can bypass dev HMR websocket CSRF checks

  • Ujawniono: 17.03.2026
  • Aktualizacja: 11.10.2026 10:22

Summary

In next dev, cross-site protections for internal development endpoints could treat Origin: null as a bypass case even when allowedDevOrigins is configured. This could allow privacy-sensitive or opaque browser contexts, such as sandboxed documents, to access privileged internal dev-server functionality unexpectedly.

Impact

If a developer visits attacker-controlled content while running an affected next dev server with allowedDevOrigins configured, attacker-controlled browser code may be able to connect to internal development endpoints and interact with sensitive dev-server functionality that should have remained blocked.

This issue affects development mode only. It does not affect next start, and it does not expose internal debugging functionality to the network by default.

Patches

Fixed by validating Origin: null through the same cross-site origin-allowance checks used for other origins on internal development endpoints.

Workarounds

If upgrade is not immediately possible:

  • Do not expose next dev to untrusted networks.
  • If you use allowedDevOrigins, reject requests and websocket upgrades with Origin: null for internal dev endpoints at your proxy.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm next >= 16.0.1, < 16.1.7 16.1.7

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-1385
Platforma
npm
Paczka
next
Ujawniono
17.03.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jcc7-9wpm-mj36 - CC BY 4.0

Historia podatności: next

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (73) w archiwum
Wszystkich wpisów
73
Pierwsza → ostatnia
12.2017 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 27
  • Średnia 32
  • Niska 9

Ujawnienia w latach

Istotność:
  1. Next.js has Server-Side Request Forgery in Image Optimization
    Wysoka · 6.5 CVE-2026-94483 >= 16.0.0, < 16.3.8 16.3.8
  2. Next.js: Remote Code Execution in next/og ImageResponse
    Krytyczna ghsa-vcvr-r3jv-pc5j >= 16.2.0, < 16.3.6 16.3.6
  3. Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
    Krytyczna ghsa-2xp9-vwfh-vxw4 >= 10.0.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  4. Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
    Krytyczna · 9.0 CVE-2026-75604 >= 13.4.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  5. Next.js: Server-Side Request Forgery in Server Actions on custom servers
    Wysoka CVE-2026-64649 >= 14.1.1, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  6. Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
    Wysoka CVE-2026-64645 >= 12.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  7. Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
    Wysoka CVE-2026-64642 >= 16.0.0, < 16.2.11 16.2.11
  8. Next.js: Denial of Service in App Router using Server Actions
    Wysoka CVE-2026-64641 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  9. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
    Wysoka · 7.5 CVE-2026-45109 >= 15.2.0, < 15.5.18, >= 16.0.0, < 16.2.6 15.5.18, 16.2.6
  10. Next.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
    Wysoka · 7.5 CVE-2026-44579 >= 15.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  11. Next.js vulnerable to server-side request forgery in applications using WebSocket upgrades
    Wysoka · 8.6 CVE-2026-44578 >= 13.4.13, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  12. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
    Wysoka · 7.5 CVE-2026-44575 >= 15.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  13. Next.js has a Middleware / Proxy bypass through dynamic route parameter injection
    Wysoka · 8.1 CVE-2026-44574 >= 15.4.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  14. Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
    Wysoka · 7.5 CVE-2026-44573 >= 12.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  15. Next.js Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-8h8q-6873-q5fj >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  16. Next.js has a Denial of Service with Server Components
    Wysoka · 7.5 ghsa-q4gf-8mx6-v5v3 >= 13.0.0, < 15.5.15, >= 16.0.0-beta.0, < 16.2.3 15.5.15, 16.2.3
  17. Next.js: null origin can bypass dev HMR websocket CSRF checks ten wpis
    Niska CVE-2026-27977 >= 16.0.1, < 16.1.7 16.1.7
  18. Next.js HTTP request deserialization can lead to DoS when using insecure React Server Components
    Wysoka · 7.5 ghsa-h25m-26qc-wcjf >= 13.0.0, < 15.0.8, >= 15.1.1-canary.0, < 15.1.12, >= 15.2.0-canary.0, < 15.2.9, >= 15.3.0-canary.0, < 15.3.9, >= 15.4.0-canary.0, < 15.4.11, >= 15.5.1-canary.0, < 15.5.10, >= 15.6.0-canary.0, < 15.6.0-canary.61, >= 16.0.0-beta.0, < 16.0.11, >= 16.1.0-canary.0, < 16.1.5 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11, 15.5.10, 15.6.0-canary.61, 16.0.11, 16.1.5
  19. Next has a Denial of Service with Server Components - Incomplete Fix Follow-Up
    Wysoka · 7.5 ghsa-5j59-xgg2-r9c4 >= 13.3.1-canary.0, < 14.2.35, >= 15.0.6, < 15.0.7, >= 15.1.10, < 15.1.11, >= 15.2.7, < 15.2.8, >= 15.3.7, < 15.3.8, >= 15.4.9, < 15.4.10, >= 15.5.8, < 15.5.9, >= 15.6.0-canary.59, < 15.6.0-canary.60, >= 16.0.9, < 16.0.10, >= 16.1.0-canary.17, < 16.1.0-canary.19 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9, 15.6.0-canary.60, 16.0.10, 16.1.0-canary.19
  20. Next Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-mwv6-3258-q52c >= 13.3.0, < 14.2.34, >= 15.0.0-canary.0, < 15.0.6, >= 15.1.1-canary.0, < 15.1.10, >= 15.2.0-canary.0, < 15.2.7, >= 15.3.0-canary.0, < 15.3.7, >= 15.4.0-canary.0, < 15.4.9, >= 15.5.1-canary.0, < 15.5.8, >= 15.6.0-canary.0, < 15.6.0-canary.59, >= 16.0.0-beta.0, < 16.0.9, >= 16.1.0-canary.0, < 16.1.0-canary.17 14.2.34, 15.0.6, 15.1.10, 15.2.7, 15.3.7, 15.4.9, 15.5.8, 15.6.0-canary.59, 16.0.9, 16.1.0-canary.17
  21. Next.js is vulnerable to RCE in React flight protocol
    Krytyczna · 10.0 ghsa-9qr9-h5gf-34mp >= 14.3.0-canary.77, < 15.0.5, >= 15.1.0-canary.0, < 15.1.9, >= 15.2.0-canary.0, < 15.2.6, >= 15.3.0-canary.0, < 15.3.6, >= 15.4.0-canary.0, < 15.4.8, >= 15.5.0-canary.0, < 15.5.7, >= 16.0.0-canary.0, < 16.0.7 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7
  22. Next.JS vulnerability can lead to DoS via cache poisoning
    Wysoka · 7.5 CVE-2025-49826 >= 15.0.4-canary.51, < 15.1.8 15.1.8
  23. Authorization Bypass in Next.js Middleware
    Krytyczna · 9.1 CVE-2025-29927 >= 13.0.0, < 13.5.9, >= 14.0.0, < 14.2.25, >= 15.0.0, < 15.2.3, >= 12.0.0, < 12.3.5 13.5.9, 14.2.25, 15.2.3, 12.3.5
  24. Next.js authorization bypass vulnerability
    Wysoka · 7.5 CVE-2024-51479 >= 9.5.5, < 14.2.15 14.2.15
  25. Next.js Cache Poisoning
    Wysoka · 7.5 CVE-2024-46982 >= 13.5.1, < 13.5.7, >= 14.0.0, < 14.2.10 13.5.7, 14.2.10
  26. Next.js Denial of Service (DoS) condition
    Wysoka · 7.5 CVE-2024-39693 >= 13.3.1, < 13.5.0 13.5.0
  27. Next.js Server-Side Request Forgery in Server Actions
    Wysoka · 7.5 CVE-2024-34351 >= 13.4.0, < 14.1.1 14.1.1
  28. Next.js Vulnerable to HTTP Request Smuggling
    Wysoka · 7.5 CVE-2024-34350 >= 13.4.0, < 13.5.1 13.5.1
  29. Unexpected server crash in Next.js.
    Wysoka · 7.5 CVE-2021-43803 >= 12.0.0, < 12.0.5, >= 0.9.9, < 11.1.3 12.0.5, 11.1.3
  30. XSS in Image Optimization API for Next.js
    Wysoka · 7.5 CVE-2021-39178 >= 10.0.0, < 11.1.1 11.1.1
  31. Remote Code Execution in next
    Wysoka ghsa-5vj8-3v2h-h38v >= 0.9.9, < 5.1.0 5.1.0
  32. Directory traversal vulnerability in Next.js
    Wysoka · 7.5 CVE-2018-6184 >= 1.0.0, < 4.2.3 4.2.3
  33. Next.js Directory Traversal Vulnerability
    Wysoka · 7.5 CVE-2017-16877 >= 1.0.0, < 2.4.1 2.4.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.