CVE-2026-44578

إصدارات Next.js من 13.4.13 إلى 15.5.15

إصدارات Next.js من 16.0.0 إلى 16.2.4

التطبيقات ذاتية الاستضافة التي تستخدم خادم Node.js المدمج معرضة لخطر تزوير الطلبات من جانب الخادم (SSRF)، وهي حالة يُجبر فيها المهاجم الخادم على إرسال طلبات إلى موقع غير مقصود. يمكن للمهاجمين عن بُعد غير المصادق عليهم استخدام طلبات HTTP مصاغة بشكل مطلق تحتوي على رؤوس Upgrade: websocket لإجبار الخادم على توجيه الطلبات كوكيل إلى وجهات داخلية أو خارجية عشوائية. قد يؤدي ذلك إلى كشف الخدمات الداخلية ولوحات الإدارة وواجهات برمجة التطبيقات (API) الخاصة ونقاط نهاية البيانات الوصفية السحابية (مثل 169.254.169.254)، مما قد يؤدي إلى سرقة بيانات اعتماد الخدمات السحابية ومفاتيح واجهة برمجة التطبيقات (API) والأسرار. يُقدَّر أن حوالي 79,000 مثيل معرض للخطر على Shodan. لا تتأثر عمليات النشر المستضافة على Vercel بهذه الثغرة.

بالنسبة للإصدارات من 13.4.13 إلى 15.5.15، قم بالترقية إلى الإصدار 15.5.16.

بالنسبة للإصدارات من 16.0.0 إلى 16.2.4، قم بالترقية إلى الإصدار 16.2.5.

كحل مؤقت، قم بحظر ترقيات WebSocket على الوكيل العكسي أو موزع الحمل إذا لم تكن مطلوبة.

قم بتقييد خروج المنشأ إلى الشبكات الداخلية وخدمات البيانات الوصفية حيثما أمكن ذلك.

تجنب تعريض خادم المنشأ مباشرةً لشبكات غير موثوق بها.