Next.js - CVE-2026-75604

Il s'agit d'une vulnérabilité de traversée de chemin (path traversal) dans le mécanisme de cache incrémental de Next.js, sur les applications hébergées sur un système de fichiers Windows.

Next.js est un framework React développé par Vercel pour la conception d'applications web complètes (full-stack). Il combine rendu côté serveur, génération de pages statiques et routage, et est déployé aussi bien sur l'infrastructure managée de Vercel qu'en auto-hébergement sur des serveurs tiers.

Elle provient d'un défaut d'échappement des antislashs dans les segments de route, avant la construction du chemin du cache. Une requête distante peut fournir des séparateurs de chemin Windows encodés, non normalisés par la couche de routage. Sur un système Windows, ces caractères se résolvent comme des séparateurs de répertoire, et la requête sort alors du répertoire racine prévu pour le cache. Un attaquant peut ainsi accéder à des données de compilation privées, dont la clé de chiffrement du manifeste de références serveur.

Elle permet, par la divulgation de cette clé, l'exécution de code à distance sur l'application concernée, sans authentification ni interaction de l'utilisateur.