PT-2026-39409 · Vercel · Next.Js
Tim Neutkens
+1
·
Publicado
2026-05-09
·
Atualizado
2026-05-29
·
CVE-2026-44575
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Next.js versões 15.2.0 a 15.5.15
Next.js versões 16.0.0 a 16.2.4
Descrição
Aplicações App Router que utilizam verificações de autorização baseadas em middleware ou proxy podem permitir acesso não autorizado através de variantes de rota específicas de transporte usadas para pré-busca de segmentos (segment prefetching). URLs
.rsc e de pré-busca de segmento especialmente criadas podem resolver para a mesma página sem serem correspondidas pela regra de middleware pretendida, permitindo que conteúdos protegidos sejam acessados sem a verificação de autorização esperada.Recomendações
Atualize para a versão 15.5.16.
Atualize para a versão 16.2.5.
Aplique a autorização na lógica da rota ou página subjacente em vez de confiar exclusivamente no middleware.
Correção
Authentication Bypass Using an Alternate Path or Channel
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Next.Js