リモートホスト上の Next.js Framework は、複数の脆弱性の影響を受けます:

  - リクエスト本文を含むサーバー側のフェッチは、異なるリクエストからのキャッシュされた応答本文を、同じURLでも異なる本文に返す可能性があります。その後、POSTの応答本文の機密データが不正なリクエストに漏えいしますが、リクエスト自体は重複排除されません。これが適用されるのは、フェッチに渡された init とは異なる init を持つリクエストを伴う呼び出しのフェッチのみです。Pages Router を使用するアプリケーションは脆弱ではありません。(CVE-2026-64648)

  - 少なくとも 1 つのサーバー アクションを持つ App Router を使用する Next.js アプリケーションをターゲットとするリクエストにより、そのサーバー アクションが Edge ランタイムを使用する場合、過剰なメモリ消費が発生する可能性があります。(CVE-2026-64646)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Next.js Framework 13.x < 15.5.21 / 16.x < 16.2.11 の複数の脆弱性

medium Nessus プラグイン ID 342581

バージョン 1.3