Summary
Vercel heeft twee kwetsbaarheden verholpen in Next.js, een React framework voor het ontwikkelen van (web)applicaties.
Details
Interpretaties
Een kwaadwillende kan de kwetsbaarheid met kenmerk CVE-2026-75604 misbruiken voor het uitvoeren van willekeurige code op de applicatieserver. De kwetsbaarheid is alleen aanwezig in Next.js-applicaties die op een Windows-omgeving worden gehost en die een Pages- en App-router gebruiken zonder de Cache Component.
Naast deze kwetsbaarheid is er ook een andere kwetsbaarheid verholpen die kwaadwillenden in staat stelt willekeurige code uit te voeren. Hiertoe dient een malafide mediabestand aan een kwetsbare applicatie te worden aangeboden. Deze kwetsbaarheid heeft ten tijde van publicatie nog geen CVE-kenmerk toegekend gekregen.
Oplossingen
Vercel heeft updates uitgebracht om de kwetsbaarheid te verhelpen in Next.js versies 15.5.24 en 16.3.3. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 1
-
Critical 9.0CVE-2026-75604 Public exploit
Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
Next.js is a React framework for building full-stack web applications. From 13.4.0 until 15.5.24 and 16.3.3, Next.js applications using Pages Router or App Router without Cache Components on Windows-hosted servers do not consistently escape backslashes in rou…
Revision history
-
#1.0.0
Initiele versie