Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-06999

Опубликовано: 06 мая 2026
Источник: fstec
CVSS3: 8.1
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость программной платформы создания веб-приложений Next.js связана с обходом процедуры аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности и получить несанкционированный доступ к защищаемой информации

Вендор

Vercel

Наименование ПО

Next.js

Версия ПО

от 16.0.0 до 16.2.5 (Next.js)
от 15.4.0 до 15.5.16 (Next.js)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://github.com/vercel/next.js/security/advisories/GHSA-492v-c6pp-mqqv

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 39%
0.00485
Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
redhat
3 месяца назад

Next.js is a React framework for building full-stack web applications. From 15.4.0 to before 15.5.16 and 16.2.5, applications that rely on middleware to protect dynamic routes can be vulnerable to authorization bypass. In affected deployments, specially crafted query parameters can alter the dynamic route value seen by the page while leaving the visible path unchanged, which can allow protected content to be rendered without passing the expected middleware check. This vulnerability is fixed in 15.5.16 and 16.2.5.

CVSS3: 8.1
nvd
3 месяца назад

Next.js is a React framework for building full-stack web applications. From 15.4.0 to before 15.5.16 and 16.2.5, applications that rely on middleware to protect dynamic routes can be vulnerable to authorization bypass. In affected deployments, specially crafted query parameters can alter the dynamic route value seen by the page while leaving the visible path unchanged, which can allow protected content to be rendered without passing the expected middleware check. This vulnerability is fixed in 15.5.16 and 16.2.5.

CVSS3: 8.1
github
3 месяца назад

Next.js has a Middleware / Proxy bypass through dynamic route parameter injection

EPSS

Процентиль: 39%
0.00485
Низкий

8.1 High

CVSS3

8.5 High

CVSS2