Next.js - CVE-2026-94482
Date de publication :
Il s’agit d’une vulnérabilité dans le traitement des Server Actions de l’App Router de Next.js.
Next.js est un framework React open source pour la création d’applications web full-stack. Il propose deux routeurs, App Router et Pages Router. Il intègre les Server Actions, des fonctions exécutées côté serveur et appelées depuis l’interface.
Des requêtes spécialement forgées, qui ciblent une application avec au moins une Server Action, provoquent une consommation excessive de CPU. Ce traitement bloque les requêtes suivantes du même processus. Aucune authentification ni interaction utilisateur n’est requise. Les applications Pages Router et celles sans Server Action ne sont pas affectées.
Elle permet un déni de service à distance.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Déni de service (à distance)
Exploitation
CWE-770
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Next.js versions 13.0.0 jusqu’à 15.5.27
- Next.js versions 16.0.0 jusqu’à 16.4.0
- Next.js branches 13.x et 14.x : comprises dans la plage affectée, sans correctif cité sur ces branches
Solutions ou recommandations
• Next.js branche 16.x : versions 16.4.1 et supérieures
• Next.js branches 13.x et 14.x : aucun correctif sur leur branche, mise à niveau vers les versions 15.5.28 et supérieures ou 16.4.1 et supérieures