Zaloguj się
Deutsch English Español Polski
Średnia

Next.js: Unauthenticated disclosure of internal Server Function endpoints

  • Ujawniono: 22.07.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

In Next.js applications using App Router, Server Actions (use server) or use cache endpoints can be disclosed bypassing any authentication on the pages where these endpoints are usually used.

Server Action IDs can be disclosed to unauthenticated users via publicly served client artifacts (for example, static chunks containing action references).

Affected users are applications using App Router + Server Actions.

By itself, this disclosure is typically a recon/enumeration primitive; however, it can increase risk when combined with other weaknesses.

Workarounds

Never assume any authentication claims at the use cache or use server boundary. Always authenticate within the boundary.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm next >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-201
Platforma
npm
Paczka
next
Ujawniono
22.07.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-955p-x3mx-jcvp - CC BY 4.0

Historia podatności: next

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (73) w archiwum
Wszystkich wpisów
73
Pierwsza → ostatnia
12.2017 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 27
  • Średnia 32
  • Niska 9

Ujawnienia w latach

Istotność:
  1. Next.js has Server-Side Request Forgery in Image Optimization
    Wysoka · 6.5 CVE-2026-94483 >= 16.0.0, < 16.3.8 16.3.8
  2. Next.js: Remote Code Execution in next/og ImageResponse
    Krytyczna ghsa-vcvr-r3jv-pc5j >= 16.2.0, < 16.3.6 16.3.6
  3. Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
    Krytyczna ghsa-2xp9-vwfh-vxw4 >= 10.0.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  4. Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
    Krytyczna · 9.0 CVE-2026-75604 >= 13.4.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  5. Next.js: Server-Side Request Forgery in Server Actions on custom servers
    Wysoka CVE-2026-64649 >= 14.1.1, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  6. Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
    Wysoka CVE-2026-64645 >= 12.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  7. Next.js: Unauthenticated disclosure of internal Server Function endpoints ten wpis
    Średnia CVE-2026-64643 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  8. Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
    Wysoka CVE-2026-64642 >= 16.0.0, < 16.2.11 16.2.11
  9. Next.js: Denial of Service in App Router using Server Actions
    Wysoka CVE-2026-64641 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  10. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
    Wysoka · 7.5 CVE-2026-45109 >= 15.2.0, < 15.5.18, >= 16.0.0, < 16.2.6 15.5.18, 16.2.6
  11. Next.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
    Wysoka · 7.5 CVE-2026-44579 >= 15.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  12. Next.js vulnerable to server-side request forgery in applications using WebSocket upgrades
    Wysoka · 8.6 CVE-2026-44578 >= 13.4.13, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  13. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
    Wysoka · 7.5 CVE-2026-44575 >= 15.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  14. Next.js has a Middleware / Proxy bypass through dynamic route parameter injection
    Wysoka · 8.1 CVE-2026-44574 >= 15.4.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  15. Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
    Wysoka · 7.5 CVE-2026-44573 >= 12.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  16. Next.js Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-8h8q-6873-q5fj >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  17. Next.js has a Denial of Service with Server Components
    Wysoka · 7.5 ghsa-q4gf-8mx6-v5v3 >= 13.0.0, < 15.5.15, >= 16.0.0-beta.0, < 16.2.3 15.5.15, 16.2.3
  18. Next.js HTTP request deserialization can lead to DoS when using insecure React Server Components
    Wysoka · 7.5 ghsa-h25m-26qc-wcjf >= 13.0.0, < 15.0.8, >= 15.1.1-canary.0, < 15.1.12, >= 15.2.0-canary.0, < 15.2.9, >= 15.3.0-canary.0, < 15.3.9, >= 15.4.0-canary.0, < 15.4.11, >= 15.5.1-canary.0, < 15.5.10, >= 15.6.0-canary.0, < 15.6.0-canary.61, >= 16.0.0-beta.0, < 16.0.11, >= 16.1.0-canary.0, < 16.1.5 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11, 15.5.10, 15.6.0-canary.61, 16.0.11, 16.1.5
  19. Next has a Denial of Service with Server Components - Incomplete Fix Follow-Up
    Wysoka · 7.5 ghsa-5j59-xgg2-r9c4 >= 13.3.1-canary.0, < 14.2.35, >= 15.0.6, < 15.0.7, >= 15.1.10, < 15.1.11, >= 15.2.7, < 15.2.8, >= 15.3.7, < 15.3.8, >= 15.4.9, < 15.4.10, >= 15.5.8, < 15.5.9, >= 15.6.0-canary.59, < 15.6.0-canary.60, >= 16.0.9, < 16.0.10, >= 16.1.0-canary.17, < 16.1.0-canary.19 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9, 15.6.0-canary.60, 16.0.10, 16.1.0-canary.19
  20. Next Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-mwv6-3258-q52c >= 13.3.0, < 14.2.34, >= 15.0.0-canary.0, < 15.0.6, >= 15.1.1-canary.0, < 15.1.10, >= 15.2.0-canary.0, < 15.2.7, >= 15.3.0-canary.0, < 15.3.7, >= 15.4.0-canary.0, < 15.4.9, >= 15.5.1-canary.0, < 15.5.8, >= 15.6.0-canary.0, < 15.6.0-canary.59, >= 16.0.0-beta.0, < 16.0.9, >= 16.1.0-canary.0, < 16.1.0-canary.17 14.2.34, 15.0.6, 15.1.10, 15.2.7, 15.3.7, 15.4.9, 15.5.8, 15.6.0-canary.59, 16.0.9, 16.1.0-canary.17
  21. Next.js is vulnerable to RCE in React flight protocol
    Krytyczna · 10.0 ghsa-9qr9-h5gf-34mp >= 14.3.0-canary.77, < 15.0.5, >= 15.1.0-canary.0, < 15.1.9, >= 15.2.0-canary.0, < 15.2.6, >= 15.3.0-canary.0, < 15.3.6, >= 15.4.0-canary.0, < 15.4.8, >= 15.5.0-canary.0, < 15.5.7, >= 16.0.0-canary.0, < 16.0.7 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7
  22. Next.JS vulnerability can lead to DoS via cache poisoning
    Wysoka · 7.5 CVE-2025-49826 >= 15.0.4-canary.51, < 15.1.8 15.1.8
  23. Authorization Bypass in Next.js Middleware
    Krytyczna · 9.1 CVE-2025-29927 >= 13.0.0, < 13.5.9, >= 14.0.0, < 14.2.25, >= 15.0.0, < 15.2.3, >= 12.0.0, < 12.3.5 13.5.9, 14.2.25, 15.2.3, 12.3.5
  24. Next.js authorization bypass vulnerability
    Wysoka · 7.5 CVE-2024-51479 >= 9.5.5, < 14.2.15 14.2.15
  25. Next.js Cache Poisoning
    Wysoka · 7.5 CVE-2024-46982 >= 13.5.1, < 13.5.7, >= 14.0.0, < 14.2.10 13.5.7, 14.2.10
  26. Next.js Denial of Service (DoS) condition
    Wysoka · 7.5 CVE-2024-39693 >= 13.3.1, < 13.5.0 13.5.0
  27. Next.js Server-Side Request Forgery in Server Actions
    Wysoka · 7.5 CVE-2024-34351 >= 13.4.0, < 14.1.1 14.1.1
  28. Next.js Vulnerable to HTTP Request Smuggling
    Wysoka · 7.5 CVE-2024-34350 >= 13.4.0, < 13.5.1 13.5.1
  29. Unexpected server crash in Next.js.
    Wysoka · 7.5 CVE-2021-43803 >= 12.0.0, < 12.0.5, >= 0.9.9, < 11.1.3 12.0.5, 11.1.3
  30. XSS in Image Optimization API for Next.js
    Wysoka · 7.5 CVE-2021-39178 >= 10.0.0, < 11.1.1 11.1.1
  31. Remote Code Execution in next
    Wysoka ghsa-5vj8-3v2h-h38v >= 0.9.9, < 5.1.0 5.1.0
  32. Directory traversal vulnerability in Next.js
    Wysoka · 7.5 CVE-2018-6184 >= 1.0.0, < 4.2.3 4.2.3
  33. Next.js Directory Traversal Vulnerability
    Wysoka · 7.5 CVE-2017-16877 >= 1.0.0, < 2.4.1 2.4.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.