PT-2026-39412 · Vercel · Next.Js

Timneutkens · Publicado 2026-05-09 · Atualizado 2026-05-13 · CVE-2026-44580

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Next.js versões 13.0.0 até 15.5.15 Next.js versões 16.0.0 até 16.2.4

Descrição Aplicações que utilizam scripts beforeInteractive juntamente com conteúdo não confiável podem estar suscetíveis a cross-site scripting (XSS), uma falha onde scripts maliciosos são injetados em sites confiáveis. O conteúdo do script serializado não era escapado com segurança antes de ser incorporado ao documento, o que permitia que entradas controladas por um invasor saíssem do contexto de script pretendido e executassem JavaScript arbitrário no navegador do visitante.

Recomendações Atualize para a versão 15.5.16. Atualize para a versão 16.2.5. Evite passar dados não confiáveis para scripts beforeInteractive. Sanitize ou escape o conteúdo antes de incorporá-lo caso o uso de dados não confiáveis em scripts beforeInteractive seja inevitável.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-44580

GHSA-GX5P-JG67-6X7H

Produtos afetados

Next.Js

Referências · 9

• https://github.com/vercel/next.js/security/advisories/GHSA-gx5p-jg67-6x7h · Aviso do Fabricante
• https://github.com/vercel/next.js/releases/tag/v15.5.16 · Nota
• https://github.com/vercel/next.js/releases/tag/v16.2.5 · Nota
• https://github.com/vercel/next.js · Nota
• https://osv.dev/vulnerability/GHSA-gx5p-jg67-6x7h · Aviso do Fabricante
• https://twitter.com/HackingTeam77/status/2053157851128807882 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44580 · Nota de Segurança
• https://t.me/brutsecurity/2701 · Publicação no Telegram
• https://t.me/proxy_bar/3371 · Publicação no Telegram