Next.js

Turborepo ist ein Build-System für JavaScript- und TypeScript-Projekte. In Versionen ab 1.1.0 und vor 2.9.14 kann es in nicht vertrauenswürdigen Repositories mit bösartiger Yarn-Konfiguration zu beliebiger Codeausführung kommen: Die Paketmanager-Erkennung rief yarn --version im Projektverzeichnis auf, wodurch ein projektgesteuerter yarnPath aus .yarnrc.yml geladen und ausgeführt werden konnte. Ein Angreifer mit Kontrolle über die Repository-Inhalte konnte so Code ausführen, wenn Nutzer oder CI-Systeme betroffene turbo- oder Codemod-Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 2.9.14.

Die AuthKit-Bibliothek für Next.js stellt Hilfsfunktionen für Authentifizierung und Session-Verwaltung mit WorkOS und AuthKit bereit. In authkit-nextjs Version 2.11.0 und früher werden auf authentifizierte Antworten keine Anti-Caching-Header angewandt. In Umgebungen mit aktiviertem CDN-Caching können dadurch Session-Tokens in zwischengespeicherte Antworten gelangen und anschliessend an mehrere Benutzer ausgeliefert werden. Auf Vercel bereitgestellte Next.js-Anwendungen sind nur betroffen, wenn CDN-Caching manuell aktiviert wird. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version 2.11.1.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. Ab Version 1.11.4 und vor den Versionen 12.3.5, 13.5.9, 14.2.25 und 15.2.3 ist es möglich, Autorisierungsprüfungen einer Next.js-Anwendung zu umgehen, sofern die Prüfung in der Middleware erfolgt. Ist ein Patch nicht möglich, wird empfohlen, externe Anfragen mit dem Header x-middleware-subrequest zu blockieren. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 12.3.5, 13.5.9, 14.2.25 bzw. 15.2.3 einspielen.

Ein Fehler in Hyper auf macOS Version 3.4.1 und aelter erlaubt entfernten Angreifern die Ausführung beliebigen Codes über die Einstellungen RunAsNode und enableNodeClilnspectArguments. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In selbst gehosteten Anwendungen mit dem integrierten Node.js-Server (Versionen ab 13.4.13 vor 15.5.16 sowie vor 16.2.5) kann über manipulierte WebSocket-Upgrade-Anfragen eine Server-Side Request Forgery (SSRF) ausgelöst werden. Ein Angreifer kann den Server dazu bringen, Anfragen an beliebige interne oder externe Ziele weiterzuleiten und so interne Dienste oder Cloud-Metadaten-Endpunkte offenzulegen. Vercel-gehostete Deployments sind nicht betroffen. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 38.9 %. Empfohlene Massnahme: Update auf Next.js 15.5.16 bzw. 16.2.5 einspielen.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. Von Version 15.2.0 bis vor 15.5.16 sowie 16.2.5 können App-Router-Anwendungen, die für die Autorisierung auf Middleware oder Proxy-basierte Prüfungen setzen, unbefugten Zugriff über transportspezifische Routenvarianten des Segment-Prefetchings zulassen. Speziell präparierte .rsc- und Segment-Prefetch-URLs können dieselbe Seite auflösen, ohne von der vorgesehenen Middleware-Regel erfasst zu werden, sodass geschützte Inhalte ohne die erwartete Autorisierungsprüfung erreichbar sind. Behoben wurde dies in 15.5.16 und 16.2.5. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 16.0.0 bis 16.2.10 können laut NVD präparierte Anfragen gegen Next.js-Anwendungen, die den App Router mit Turbopack nutzen, eine Schwachstelle auslösen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In Versionen vor 15.5.16 sowie 16.2.5 können Anwendungen, die Partial Prerendering über die Funktion Cache Components nutzen, durch Verbindungserschöpfung angreifbar sein. Präparierte POST-Anfragen an eine Server Action lösen einen Deadlock bei der Verarbeitung des Request-Bodys aus, wodurch Verbindungen lange offen bleiben und Dateideskriptoren sowie Serverkapazität aufgebraucht werden, bis legitime Nutzer keinen Dienst mehr erhalten. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Aktualisierung auf 15.5.16 bzw. 16.2.5.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In Versionen ab 15.4.0 und vor 15.5.16 sowie 16.2.5 können Anwendungen, die dynamische Routen über Middleware schützen, anfällig für eine Autorisierungsumgehung sein. Speziell gestaltete Query-Parameter können den von der Seite gesehenen dynamischen Routenwert verändern, während der sichtbare Pfad unverändert bleibt, sodass geschützte Inhalte ohne die erwartete Middleware-Prüfung ausgeliefert werden. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf Next.js 15.5.16 oder 16.2.5 aktualisieren.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen ab 12.2.0 bis vor 15.5.16 und 16.2.5 können Anwendungen, die den Pages Router mit konfiguriertem i18n und middleware- bzw. proxybasierter Autorisierung nutzen, unbefugten Zugriff auf geschützte Seitendaten erlauben. Bei locale-losen Anfragen an /_next/data/<buildId>/<page>.json läuft die Middleware nicht, sodass ein Angreifer die SSR-JSON-Daten geschützter Seiten ohne die vorgesehenen Autorisierungsprüfungen abrufen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf Next.js 15.5.16 bzw. 16.2.5 aktualisieren.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. Von Version 15.2.0 bis vor 15.5.18 und 16.2.6 zeigte sich, dass die Behebung von CVE-2026-44575 nicht auf middleware.ts mit Turbopack angewandt wurde. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Aktualisierung auf Version 15.5.18 bzw. 16.2.6.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 13.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 können präparierte Anfragen gegen Next.js-Anwendungen, die den App Router nutzen, gezielt ausgenutzt werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Im Vercel-AI-Paket provider-utils erlaubt die Funktion validateDownloadUrl der Datei download-blob.ts bis einschliesslich Version 3.0.97 eine Server-Side-Request-Forgery. Der Angriff kann remote ausgeführt werden, ein Exploit wurde bereits öffentlich gemacht. Der Hersteller wurde laut Quelle frühzeitig kontaktiert, hat darauf aber nicht reagiert. CVSS-Basiswert: 7.3 (Hoch).

Vor Version 2.9.14000 konnte die Turborepo-LSP-Erweiterung für VS Code Shell-Befehle ausführen, die aus vom Workspace kontrollierten Werten abgeleitet wurden. Ein bösartiger Workspace konnte über Workspace-Einstellungen oder Task-Namen präparierte Werte bereitstellen, die in Shell-Befehle eingesetzt und beim Aktivieren der Erweiterung oder beim Ausführen eines Tasks von der Shell interpretiert wurden. Dies erlaubte die Ausführung beliebiger Befehle mit den Rechten des lokalen VS-Code-Prozesses. Die Schwachstelle ist in Version 2.9.14000 behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.9.14000 oder neuer.

In Next.js ab Version 16.0.1 und vor 16.1.7 wurde bei Anfragen mit dem Header next-resume: 1 (PPR-Resume-Anfrage) der Anfragekörper gepuffert, ohne in bestimmten Konfigurationen konsequent das Limit maxPostponedStateSize durchzusetzen. Betroffen sind Anwendungen mit App Router und aktivierter Partial-Prerendering-Funktion (experimental.ppr oder cacheComponents) in nicht-minimalen Deployments. Ein Angreifer kann durch überdimensionierte next-resume-POST-Payloads übermässigen Speicherverbrauch und dadurch einen Denial of Service auslösen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 16.1.7 einspielen; ist ein Update kurzfristig nicht möglich, Anfragen mit dem Header next-resume blockieren, da dieser von vertrauenswürdigen Clients nie gesendet wird.

Der standardmässige Festplatten-Cache der Next.js-Bildoptimierung (/_next/image) besass ab Version 10.0.0 bis vor 16.1.7 keine konfigurierbare Obergrenze, wodurch der Cache unbegrenzt wachsen konnte. Ein Angreifer kann viele einzigartige Bildoptimierungs-Varianten erzeugen und dadurch Speicherplatz erschöpfen, was zu einem Denial of Service führt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor. Empfohlene Massnahme: Update auf Next.js 16.1.7, das mit images.maximumDiskCacheSize einen LRU-basierten Cache mit Eviction einführt; alternativ .next/cache/images regelmässig bereinigen oder die Varianten-Kardinalität über images.localPatterns, images.remotePatterns und images.qualities reduzieren.

Der Fix für CVE-2025-55184 in React Server Components war unvollständig und verhindert einen bestimmten Denial-of-Service-Angriff nicht. Betroffen sind React Server Components 19.0.2, 19.1.3 und 19.2.2; die Schwachstelle erlaubt eine unsichere Deserialisierung von Payloads aus HTTP-Requests an Server-Function-Endpunkte. Dies kann eine Endlosschleife auslösen, die den Serverprozess blockiert und künftige HTTP-Requests verhindern kann. CVSS-Basiswert: 7.5 (Hoch).

In React Server Components (Versionen 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 und 19.2.1) besteht eine Pre-Authentication-Denial-of-Service-Schwachstelle in den Paketen react-server-dom-parcel, react-server-dom-turbopack und react-server-dom-webpack. Der betroffene Code deserialisiert Payloads aus HTTP-Requests an Server-Function-Endpunkte unsicher. Dies kann eine Endlosschleife auslösen, die den Serverprozess blockiert und künftige HTTP-Anfragen verhindern kann. CVSS-Basiswert: 7.5 (Hoch).

In Next.js kann ein Cache-Poisoning-Fehler zu einem Denial-of-Service-Zustand führen. Unter bestimmten Bedingungen kann eine HTTP-204-Antwort für statische Seiten zwischengespeichert und anschliessend allen Nutzern ausgeliefert werden, die auf die Seite zugreifen. Betroffen sind Versionen von 15.0.4-canary.51 bis vor 15.1.8; auf Vercel gehostete Kunden sind laut Quelle nicht betroffen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 15.1.8.

In betroffenen Next.js-Versionen kann laut NVD eine in der Middleware implementierte, pfadbasierte Autorisierung umgangen werden, wenn Seiten direkt unterhalb des Root-Verzeichnisses der Anwendung liegen (z. B. /foo betroffen, / und /foo/bar hingegen nicht). CVSS-Basiswert: 7.5 (Hoch). Behoben ab Next.js 14.2.15. Auf Vercel gehostete Anwendungen sind unabhängig von der Next.js-Version bereits automatisch abgesichert; offizielle Workarounds existieren nicht. Empfohlene Massnahme: auf Next.js 14.2.15 oder neuer aktualisieren.

Next.js, ein React-Framework für Full-Stack-Webanwendungen, erlaubt über eine präparierte HTTP-Anfrage das Vergiften des Caches einer nicht-dynamischen, serverseitig gerenderten Route im Pages Router (der App Router ist nicht betroffen). Dabei kann Next.js dazu gebracht werden, eine eigentlich nicht zu cachende Route zu cachen und einen Cache-Control-Header zu senden, den vorgelagerte CDNs ebenfalls cachen können. Betroffen sind Versionen zwischen 13.5.1 und 14.2.9 bei Nutzung des Pages Routers mit nicht-dynamischen serverseitig gerenderten Routen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Next.js 13.5.7, 14.2.10 oder neuer; es gibt keine empfohlenen Workarounds.

In Next.js, einem React-Framework, wurde ein Denial-of-Service-Zustand identifiziert: Die Ausnutzung des Fehlers kann einen Absturz auslösen und dadurch die Verfügbarkeit des Servers beeinträchtigen. Die Schwachstelle wurde in Next.js 13.5 und späteren Versionen behoben. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Next.js 13.5 oder neuer aktualisieren.

In Next.js vor Version 13.5.1 führt eine inkonsistente Interpretation präparierter HTTP-Requests dazu, dass Anfragen von Next.js gleichzeitig als eine einzelne und als zwei getrennte Anfragen behandelt werden, was zu desynchronisierten Antworten und einem Response-Queue-Poisoning führen kann. Betroffen sind Routen, die das Rewrites-Feature von Next.js nutzen. Die Schwachstelle ist in Next.js 13.5.1 und neuer behoben. CVSS-Basiswert: 7.5 (Hoch).

Next.js ist ein React-Framework für Webanwendungen. Laut NVD-Eintrag wurde eine Server-Side-Request-Forgery-Schwachstelle (SSRF) in Next.js Server Actions identifiziert: Wird der Host-Header manipuliert, kann ein Angreifer unter bestimmten Bedingungen Anfragen auslösen, die scheinbar vom Next.js-Anwendungsserver selbst stammen. Voraussetzung ist ein selbst gehostetes Next.js mit Server Actions, bei dem eine Server Action einen Redirect auf einen relativen, mit „/“ beginnenden Pfad ausführt. Die Schwachstelle wurde in Next.js 14.1.1 behoben. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Next.js 14.1.1 oder neuer.

Next.js vor Version 13.4.20-canary.13 versendet bei Prefetch-Antworten keinen Cache-Control-Header. Dadurch können leere Prefetch-Antworten gelegentlich von einem CDN zwischengespeichert werden, was allen Nutzern, die dieselbe URL über dieses CDN anfragen, einen Denial-of-Service-Zustand verursachen kann. CVSS-Basiswert: 7.5 (Hoch).

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine rewrites()- oder redirects()-Regel, die ihr externes Ziel dynamisch aufbaut, betroffen sein. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. Von Version 10.0.0 bis vor 15.5.16 und 16.2.5 besteht beim Selbst-Hosting mit dem Standard-Image-Loader eine Schwachstelle, bei der die Image Optimization API Inhalte abruft. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Next.js-Anwendungen, die den App Router und Server Actions (use server) nutzen, sind laut Quelle in den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 von einer Schwachstelle betroffen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 14.1.1 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann laut Quelle ein Angreifer eine Situation ausnutzen, bei der eine Server Action eine Anfrage weiterleitet oder umleitet. Weitere Details zur genauen Auswirkung liegen in den verfügbaren Quelldaten nicht vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Next.js ist ein React-Framework für Full-Stack-Webanwendungen. In den Versionen 13.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 sind laut Quellbeschreibung Anfragen betroffen, die auf Anwendungen mit App Router zielen; die genaue Bedingung dafür ist in den Quelldaten nicht vollständig wiedergegeben. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Next.js, ein React-Framework für Full-Stack-Webanwendungen, weist in den Versionen 15.5.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 beim Self-Hosting mit dem Standard-Image-Loader eine Schwachstelle im Zusammenhang mit der Image-Komponente auf. Weitere technische Details führt die Quelle nicht näher aus. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Next.js kann bei einem serverseitigen Fetch mit Request Body unter bestimmten Bedingungen eine zwischengespeicherte Antwort zurückgegeben werden. Betroffen sind laut Quelle die Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Next.js ist ein React-Framework für vollständige Web-Anwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine serverseitige Fetch-Anfrage mit Request-Body unter bestimmten Umständen eine bereits zwischengespeicherte Antwort zurückliefern. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.