PT-2026-63564
CVE-2026-64649
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Next.js من 14.1.1 إلى 15.5.20
إصدارات Next.js من 16.0.0 إلى 16.2.10
الوصف
عندما يقوم إجراء الخادم (Server Action) بإعادة توجيه طلب ما، يمكن للمهاجم أن يجعل الخادم يرسل هذا الطلب الصادر إلى مضيف ضار، مما يؤدي إلى تزوير الطلب من جانب الخادم (SSRF)، وهي تقنية يقوم فيها المهاجم بحث تطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود. يحدث هذا عندما يتحكم المهاجم في الرؤوس المرتبطة بالمضيف ولا يكون رأس المضيف الوارد ثابتًا على قيمة موثوقة، وهو سيناريو شائع في الخوادم المخصصة أو عمليات النشر التي لا تستخدم وكيلًا يحدد المضيف. في بعض التكوينات، يمكن أيضًا استخدام هذا للحصول على قيم داخلية تضعف ترخيص البرامج الوسيطة أو الوكيل.
التوصيات
قم بتحديث إصدارات Next.js من 14.1.1 إلى 15.5.20 إلى الإصدار 15.5.21.
قم بتحديث إصدارات Next.js من 16.0.0 إلى 16.2.10 إلى الإصدار 16.2.11.
قم بتثبيت أو التحقق من صحة رؤوس
Host وX-Forwarded-Host على مستوى الحافة أو الوكيل لمنع العملاء من التحكم في رأس المضيف.بالنسبة للإصدارات 14.2.0 وما بعدها، قم بتعيين متغير البيئة
NEXT PRIVATE ORIGIN على المنشأ الفعلي لعملية النشر. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾