CVE-2026-27977

إصدارات Next.js من 16.0.1 إلى 16.1.6

كان Next.js، وهو إطار عمل React لإنشاء تطبيقات الويب كاملة المكونات، يعاني من ثغرة في وضع التطوير (next dev) حيث كانت الحماية عبر المواقع لنقاط نهاية WebSocket الداخلية تسمح بشكل غير صحيح بالاتصالات من سياقات ذات رأس Origin: null، حتى عند تكوين allowedDevOrigins. قد يسمح هذا لمهاجم لديه وصول إلى محتوى يخضع لسيطرته بالاتصال بقناة WebSocket الخاصة بـ Hot Module Replacement (HMR) والتفاعل المحتمل مع حركة مرور WebSocket الخاصة بالتطوير. تؤثر هذه المشكلة على وضع التطوير فقط. كما كانت التطبيقات التي لم يتم تكوين allowedDevOrigins فيها عرضة للخطر أيضًا، مما يسمح بالاتصالات من أي مصدر. تتضمن هذه المشكلة نقطة نهاية واجهة برمجة التطبيقات (API) / next/webpack-hmr. وتعد متغير Origin عاملاً رئيسيًّا في هذه الثغرة الأمنية.

يجب تحديث إصدارات Next.js الأقدم من 16.1.7 إلى الإصدار 16.1.7 أو أحدث للتحقق من صحة رأس Origin: null باستخدام نفس عمليات التحقق من المنشأ عبر المواقع التي تُطبق على المنشآت الأخرى. إذا لم يكن التحديث ممكنًا على الفور، فلا تُعرّض next dev لشبكات غير موثوق بها. وكتدبير إضافي، قم بحظر ترقيات websocket إلى نقطة النهاية / next/webpack-hmr عندما يكون رأس Origin هو null عند الوكيل.