リモートホスト上の Next.js Framework が、サービス拒否の脆弱性による影響を受けます:

  - デフォルトのイメージローダーを使用してセルフホスティングNext.jsする場合、構成されている場合(デフォルトでは有効になっていません)、Image Optimization API によってリモートでホストされるイメージが最適化されることがあります。これらのイメージに悪意のあるコンテンツが含まれていると、/_next/imageエンドポイントでCPU消耗が発生する可能性があります。影響を受けるのはconfig.images.remotePatternsのみで、その配列内のパターンのみが影響を受けます。一方、config.images.unoptimized: true、config.images.loader: 'custom'、Vercelは影響を受けません。(CVE-2026-64644)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Next.js Framework 15.5.x < 15.5.21 / 16.x < 16.2.11 Image Optimization API の DoS(GHSA-q8wf-6r8g-63ch)

medium Nessus プラグイン ID 342580

バージョン 1.3