PT-2026-39754 · Vercel · Turbopack+1

Tim Neutkens · Publicado 2026-05-11 · Atualizado 2026-05-29 · CVE-2026-45109

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Next.js versões 15.2.0 até 15.5.17 Next.js versões 16.0.0 até 16.2.5

Descrição Existe uma falha onde uma correção de segurança anterior não foi aplicada corretamente ao middleware.ts quando utilizado em conjunto com o Turbopack, um empacotador incremental de alta performance para JavaScript e TypeScript.

Recomendações Atualizar para a versão 15.5.18. Atualizar para a versão 16.2.6.

Correção

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

BDU:2026-07875

CVE-2026-45109

GHSA-26HH-7CQF-HHC6

Produtos afetados

Next.Js

Turbopack

Referências · 12

• https://github.com/vercel/next.js/security/advisories/GHSA-26hh-7cqf-hhc6 · Aviso do Fabricante
• https://github.com/vercel/next.js/releases/tag/v16.2.6 · Nota
• https://github.com/vercel/next.js/releases/tag/v15.5.18 · Nota
• https://github.com/vercel/next.js · Nota
• https://github.com/vercel/next.js/security/advisories/GHSA-267c-6grr-h53f · Nota
• https://bdu.fstec.ru/vul/2026-07875 · Nota de Segurança
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-45109 · Aviso do Fabricante
• https://twitter.com/SelvaKtm2/status/2055268430048342420 · Publicação no Twitter
• https://twitter.com/cybrsecpath/status/2055258546292547737 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2053879564124778970 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-26hh-7cqf-hhc6 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45109 · Nota de Segurança