Zaloguj się
Deutsch English Español Polski
Wysoka

Next.js: Odmowa usługi (DoS) w App Router przy użyciu Server Actions

  • Ujawniono: 22.10.2026
  • Aktualizacja: 24.10.2026 00:04

Wpływ

Specjalnie spreparowane żądania skierowane do aplikacji Next.js korzystających z App Router z co najmniej jedną akcją serwerową (Server Action) mogą prowadzić do nadmiernego zużycia procesora, blokując przetwarzanie kolejnych żądań w ramach tego samego procesu.

Obejścia

Poza aktualizacją nie istnieje żadne obejście. Aplikacje korzystające z Pages Router lub niestosujące Server Actions nie są podatne.

Co trzeba zrobić

Zaktualizuj pakiet next do wersji 15.5.28, 16.4.1 lub nowszej.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm next >= 13.0.0, < 15.5.28, >= 16.0.0, < 16.4.1 15.5.28, 16.4.1

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-770
Platforma
npm
Paczka
next
Ujawniono
22.10.2026
Aktualizacja
24.10.2026 00:04

Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.

OSV / GitHub Advisory Database - GHSA-p3m5-59mp-jv5r - CC BY 4.0

Historia podatności: next

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (76) w archiwum
Wszystkich wpisów
76
Pierwsza → ostatnia
12.2017 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 28
  • Średnia 33
  • Niska 9

Ujawnienia w latach

Istotność:
  1. Next.js: Zdalne wykonywanie kodu bez uwierzytelnienia w funkcjach `use cache` zwracających tablice typowane
    Krytyczna ghsa-673q-mjm6-r5xr >= 16.0.0, < 16.4.1 16.4.1
  2. Next.js: Odmowa usługi (DoS) w App Router przy użyciu Server Actions ten wpis
    Wysoka CVE-2026-94482 >= 13.0.0, < 15.5.28, >= 16.0.0, < 16.4.1 15.5.28, 16.4.1
  3. Next.js has Server-Side Request Forgery in Image Optimization
    Wysoka · 6.5 CVE-2026-94483 >= 16.0.0, < 16.3.8 16.3.8
  4. Next.js: Remote Code Execution in next/og ImageResponse
    Krytyczna ghsa-vcvr-r3jv-pc5j >= 16.2.0, < 16.3.6 16.3.6
  5. Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
    Krytyczna ghsa-2xp9-vwfh-vxw4 >= 10.0.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  6. Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
    Krytyczna · 9.0 CVE-2026-75604 >= 13.4.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  7. Next.js: Server-Side Request Forgery in Server Actions on custom servers
    Wysoka CVE-2026-64649 >= 14.1.1, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  8. Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
    Wysoka CVE-2026-64645 >= 12.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  9. Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
    Wysoka CVE-2026-64642 >= 16.0.0, < 16.2.11 16.2.11
  10. Next.js: Denial of Service in App Router using Server Actions
    Wysoka CVE-2026-64641 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  11. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
    Wysoka · 7.5 CVE-2026-45109 >= 15.2.0, < 15.5.18, >= 16.0.0, < 16.2.6 15.5.18, 16.2.6
  12. Next.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
    Wysoka · 7.5 CVE-2026-44579 >= 15.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  13. Next.js vulnerable to server-side request forgery in applications using WebSocket upgrades
    Wysoka · 8.6 CVE-2026-44578 >= 13.4.13, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  14. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
    Wysoka · 7.5 CVE-2026-44575 >= 15.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  15. Next.js has a Middleware / Proxy bypass through dynamic route parameter injection
    Wysoka · 8.1 CVE-2026-44574 >= 15.4.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  16. Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
    Wysoka · 7.5 CVE-2026-44573 >= 12.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  17. Next.js Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-8h8q-6873-q5fj >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  18. Next.js has a Denial of Service with Server Components
    Wysoka · 7.5 ghsa-q4gf-8mx6-v5v3 >= 13.0.0, < 15.5.15, >= 16.0.0-beta.0, < 16.2.3 15.5.15, 16.2.3
  19. Next.js HTTP request deserialization can lead to DoS when using insecure React Server Components
    Wysoka · 7.5 ghsa-h25m-26qc-wcjf >= 13.0.0, < 15.0.8, >= 15.1.1-canary.0, < 15.1.12, >= 15.2.0-canary.0, < 15.2.9, >= 15.3.0-canary.0, < 15.3.9, >= 15.4.0-canary.0, < 15.4.11, >= 15.5.1-canary.0, < 15.5.10, >= 15.6.0-canary.0, < 15.6.0-canary.61, >= 16.0.0-beta.0, < 16.0.11, >= 16.1.0-canary.0, < 16.1.5 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11, 15.5.10, 15.6.0-canary.61, 16.0.11, 16.1.5
  20. Next has a Denial of Service with Server Components - Incomplete Fix Follow-Up
    Wysoka · 7.5 ghsa-5j59-xgg2-r9c4 >= 13.3.1-canary.0, < 14.2.35, >= 15.0.6, < 15.0.7, >= 15.1.10, < 15.1.11, >= 15.2.7, < 15.2.8, >= 15.3.7, < 15.3.8, >= 15.4.9, < 15.4.10, >= 15.5.8, < 15.5.9, >= 15.6.0-canary.59, < 15.6.0-canary.60, >= 16.0.9, < 16.0.10, >= 16.1.0-canary.17, < 16.1.0-canary.19 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9, 15.6.0-canary.60, 16.0.10, 16.1.0-canary.19
  21. Next Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-mwv6-3258-q52c >= 13.3.0, < 14.2.34, >= 15.0.0-canary.0, < 15.0.6, >= 15.1.1-canary.0, < 15.1.10, >= 15.2.0-canary.0, < 15.2.7, >= 15.3.0-canary.0, < 15.3.7, >= 15.4.0-canary.0, < 15.4.9, >= 15.5.1-canary.0, < 15.5.8, >= 15.6.0-canary.0, < 15.6.0-canary.59, >= 16.0.0-beta.0, < 16.0.9, >= 16.1.0-canary.0, < 16.1.0-canary.17 14.2.34, 15.0.6, 15.1.10, 15.2.7, 15.3.7, 15.4.9, 15.5.8, 15.6.0-canary.59, 16.0.9, 16.1.0-canary.17
  22. Next.js is vulnerable to RCE in React flight protocol
    Krytyczna · 10.0 ghsa-9qr9-h5gf-34mp >= 14.3.0-canary.77, < 15.0.5, >= 15.1.0-canary.0, < 15.1.9, >= 15.2.0-canary.0, < 15.2.6, >= 15.3.0-canary.0, < 15.3.6, >= 15.4.0-canary.0, < 15.4.8, >= 15.5.0-canary.0, < 15.5.7, >= 16.0.0-canary.0, < 16.0.7 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7
  23. Next.JS vulnerability can lead to DoS via cache poisoning
    Wysoka · 7.5 CVE-2025-49826 >= 15.0.4-canary.51, < 15.1.8 15.1.8
  24. Authorization Bypass in Next.js Middleware
    Krytyczna · 9.1 CVE-2025-29927 >= 13.0.0, < 13.5.9, >= 14.0.0, < 14.2.25, >= 15.0.0, < 15.2.3, >= 12.0.0, < 12.3.5 13.5.9, 14.2.25, 15.2.3, 12.3.5
  25. Next.js authorization bypass vulnerability
    Wysoka · 7.5 CVE-2024-51479 >= 9.5.5, < 14.2.15 14.2.15
  26. Next.js Cache Poisoning
    Wysoka · 7.5 CVE-2024-46982 >= 13.5.1, < 13.5.7, >= 14.0.0, < 14.2.10 13.5.7, 14.2.10
  27. Next.js Denial of Service (DoS) condition
    Wysoka · 7.5 CVE-2024-39693 >= 13.3.1, < 13.5.0 13.5.0
  28. Next.js Server-Side Request Forgery in Server Actions
    Wysoka · 7.5 CVE-2024-34351 >= 13.4.0, < 14.1.1 14.1.1
  29. Next.js Vulnerable to HTTP Request Smuggling
    Wysoka · 7.5 CVE-2024-34350 >= 13.4.0, < 13.5.1 13.5.1
  30. Unexpected server crash in Next.js.
    Wysoka · 7.5 CVE-2021-43803 >= 12.0.0, < 12.0.5, >= 0.9.9, < 11.1.3 12.0.5, 11.1.3
  31. XSS in Image Optimization API for Next.js
    Wysoka · 7.5 CVE-2021-39178 >= 10.0.0, < 11.1.1 11.1.1
  32. Remote Code Execution in next
    Wysoka ghsa-5vj8-3v2h-h38v >= 0.9.9, < 5.1.0 5.1.0
  33. Directory traversal vulnerability in Next.js
    Wysoka · 7.5 CVE-2018-6184 >= 1.0.0, < 4.2.3 4.2.3
  34. Next.js Directory Traversal Vulnerability
    Wysoka · 7.5 CVE-2017-16877 >= 1.0.0, < 2.4.1 2.4.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.