PT-2025-35322
CVE-2025-57822
·
تاريخ النشر
2025-08-29
·
تاريخ التحديث
2026-09-22
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Next.js الأقدم من 14.2.32 والأقدم من 15.4.7
الوصف
Next.js هو إطار عمل React لإنشاء تطبيقات ويب متكاملة. عند استخدام الدالة
next() دون تمرير كائن الطلب صراحةً في التطبيقات ذاتية الاستضافة، كان من الممكن أن يؤدي ذلك إلى تزوير الطلب من جانب الخادم (SSRF). كان ذلك يحدث عندما يتم تمرير رؤوس الطلب مباشرةً إلى NextResponse.next()، مما قد يسمح بانعكاس رؤوس الطلب الواردة الحساسة مرة أخرى في الاستجابة. SSRF هي ثغرة أمنية على الويب تسمح للمهاجم بإجراء طلبات نيابة عن الخادم. تُستخدم الدالة next() داخل البرمجيات الوسيطة (middleware) لتمرير التحكم إلى البرمجيات الوسيطة التالية أو إلى معالج المسار.التوصيات
يجب تحديث إصدارات Next.js الأقدم من 14.2.32 إلى الإصدار 14.2.32 أو أحدث.
يجب تحديث إصدارات Next.js الأقدم من 15.4.7 إلى الإصدار 15.4.7 أو أحدث.
تحقق من الاستخدام الصحيح للدالة
next() في المنطق المخصص للبرمجيات الوسيطة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾