CVE-2026-27978

إصدارات Next.js من 16.0.1 إلى 16.1.7

كان هناك ثغرة في Next.js — وهو إطار عمل React لإنشاء تطبيقات الويب متكاملة — في عملية التحقق من صحة طلبات CSRF الخاصة بـ «Server Actions». وعلى وجه التحديد، تم التعامل مع origin: null بشكل غير صحيح على أنه أصل مفقود، مما سمح للطلبات الواردة من سياقات غير شفافة مثل إطارات iframe المحمية (sandboxed) بتجاوز التحقق من الأصل. وقد يمكّن ذلك المهاجم من حث متصفح الضحية على إرسال Server Actions من سياق محمي، مما قد يؤدي إلى تنفيذ إجراءات تغير الحالة باستخدام بيانات اعتماد الضحية، مما يؤدي إلى هجوم تزوير الطلبات عبر المواقع (CSRF). تم معالجة المشكلة من خلال التعامل مع ’null‘ كقيمة منشأ صريحة وفرض فحوصات المضيف/المنشأ ما لم يتم إدراج ’null‘ صراحةً في قائمة المسموح بها في experimental.serverActions.allowedOrigins. نقطة نهاية واجهة برمجة التطبيقات (API) معرضة لهذه المشكلة عند معالجة إجراءات الخادم. المعلمة المعرضة للخطر هي origin، والتي عند تعيينها إلى null، تتجاوز عملية التحقق من صحة CSRF.

يجب ترقية إصدارات Next.js الأقدم من 16.1.7 إلى الإصدار 16.1.7 أو أحدث.

إذا لم تكن الترقية ممكنة على الفور، فقم بإضافة رموز CSRF لإجراءات الخادم الحساسة.

افضل استخدام SameSite=Strict في ملفات تعريف الارتباط الحساسة الخاصة بالمصادقة.

لا تسمح بوجود ’null‘ في experimental.serverActions.allowedOrigins ما لم يكن ذلك مطلوبًا عن قصد ومحميًا بشكل إضافي.