Zaloguj się
Deutsch English Español Polski
Średnia

Next.js has cross-site scripting in beforeInteractive scripts with untrusted input

  • Ujawniono: 11.05.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

Applications that use beforeInteractive scripts together with untrusted content can be vulnerable to cross-site scripting. In affected versions, serialized script content was not escaped safely before being embedded into the document, which could allow attacker-controlled input to break out of the intended script context and execute arbitrary JavaScript in a visitor's browser.

Fix

We now HTML-escape serialized beforeInteractive script content before embedding it into the page, preventing attacker-controlled content from breaking out of the inline script boundary.

Workarounds

If you cannot upgrade immediately, do not pass untrusted data into beforeInteractive scripts. If that pattern is unavoidable, sanitize or escape the content before embedding it.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm next >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
npm
Paczka
next
Ujawniono
11.05.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-gx5p-jg67-6x7h - CC BY 4.0

Historia podatności: next

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (73) w archiwum
Wszystkich wpisów
73
Pierwsza → ostatnia
12.2017 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 27
  • Średnia 32
  • Niska 9

Ujawnienia w latach

Istotność:
  1. Next.js has Server-Side Request Forgery in Image Optimization
    Wysoka · 6.5 CVE-2026-94483 >= 16.0.0, < 16.3.8 16.3.8
  2. Next.js: Remote Code Execution in next/og ImageResponse
    Krytyczna ghsa-vcvr-r3jv-pc5j >= 16.2.0, < 16.3.6 16.3.6
  3. Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
    Krytyczna ghsa-2xp9-vwfh-vxw4 >= 10.0.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  4. Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
    Krytyczna · 9.0 CVE-2026-75604 >= 13.4.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  5. Next.js: Server-Side Request Forgery in Server Actions on custom servers
    Wysoka CVE-2026-64649 >= 14.1.1, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  6. Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
    Wysoka CVE-2026-64645 >= 12.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  7. Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
    Wysoka CVE-2026-64642 >= 16.0.0, < 16.2.11 16.2.11
  8. Next.js: Denial of Service in App Router using Server Actions
    Wysoka CVE-2026-64641 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  9. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
    Wysoka · 7.5 CVE-2026-45109 >= 15.2.0, < 15.5.18, >= 16.0.0, < 16.2.6 15.5.18, 16.2.6
  10. Next.js has cross-site scripting in beforeInteractive scripts with untrusted input ten wpis
    Średnia · 6.1 CVE-2026-44580 >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  11. Next.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
    Wysoka · 7.5 CVE-2026-44579 >= 15.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  12. Next.js vulnerable to server-side request forgery in applications using WebSocket upgrades
    Wysoka · 8.6 CVE-2026-44578 >= 13.4.13, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  13. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
    Wysoka · 7.5 CVE-2026-44575 >= 15.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  14. Next.js has a Middleware / Proxy bypass through dynamic route parameter injection
    Wysoka · 8.1 CVE-2026-44574 >= 15.4.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  15. Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
    Wysoka · 7.5 CVE-2026-44573 >= 12.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  16. Next.js Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-8h8q-6873-q5fj >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  17. Next.js has a Denial of Service with Server Components
    Wysoka · 7.5 ghsa-q4gf-8mx6-v5v3 >= 13.0.0, < 15.5.15, >= 16.0.0-beta.0, < 16.2.3 15.5.15, 16.2.3
  18. Next.js HTTP request deserialization can lead to DoS when using insecure React Server Components
    Wysoka · 7.5 ghsa-h25m-26qc-wcjf >= 13.0.0, < 15.0.8, >= 15.1.1-canary.0, < 15.1.12, >= 15.2.0-canary.0, < 15.2.9, >= 15.3.0-canary.0, < 15.3.9, >= 15.4.0-canary.0, < 15.4.11, >= 15.5.1-canary.0, < 15.5.10, >= 15.6.0-canary.0, < 15.6.0-canary.61, >= 16.0.0-beta.0, < 16.0.11, >= 16.1.0-canary.0, < 16.1.5 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11, 15.5.10, 15.6.0-canary.61, 16.0.11, 16.1.5
  19. Next has a Denial of Service with Server Components - Incomplete Fix Follow-Up
    Wysoka · 7.5 ghsa-5j59-xgg2-r9c4 >= 13.3.1-canary.0, < 14.2.35, >= 15.0.6, < 15.0.7, >= 15.1.10, < 15.1.11, >= 15.2.7, < 15.2.8, >= 15.3.7, < 15.3.8, >= 15.4.9, < 15.4.10, >= 15.5.8, < 15.5.9, >= 15.6.0-canary.59, < 15.6.0-canary.60, >= 16.0.9, < 16.0.10, >= 16.1.0-canary.17, < 16.1.0-canary.19 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9, 15.6.0-canary.60, 16.0.10, 16.1.0-canary.19
  20. Next Vulnerable to Denial of Service with Server Components
    Wysoka · 7.5 ghsa-mwv6-3258-q52c >= 13.3.0, < 14.2.34, >= 15.0.0-canary.0, < 15.0.6, >= 15.1.1-canary.0, < 15.1.10, >= 15.2.0-canary.0, < 15.2.7, >= 15.3.0-canary.0, < 15.3.7, >= 15.4.0-canary.0, < 15.4.9, >= 15.5.1-canary.0, < 15.5.8, >= 15.6.0-canary.0, < 15.6.0-canary.59, >= 16.0.0-beta.0, < 16.0.9, >= 16.1.0-canary.0, < 16.1.0-canary.17 14.2.34, 15.0.6, 15.1.10, 15.2.7, 15.3.7, 15.4.9, 15.5.8, 15.6.0-canary.59, 16.0.9, 16.1.0-canary.17
  21. Next.js is vulnerable to RCE in React flight protocol
    Krytyczna · 10.0 ghsa-9qr9-h5gf-34mp >= 14.3.0-canary.77, < 15.0.5, >= 15.1.0-canary.0, < 15.1.9, >= 15.2.0-canary.0, < 15.2.6, >= 15.3.0-canary.0, < 15.3.6, >= 15.4.0-canary.0, < 15.4.8, >= 15.5.0-canary.0, < 15.5.7, >= 16.0.0-canary.0, < 16.0.7 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7
  22. Next.JS vulnerability can lead to DoS via cache poisoning
    Wysoka · 7.5 CVE-2025-49826 >= 15.0.4-canary.51, < 15.1.8 15.1.8
  23. Authorization Bypass in Next.js Middleware
    Krytyczna · 9.1 CVE-2025-29927 >= 13.0.0, < 13.5.9, >= 14.0.0, < 14.2.25, >= 15.0.0, < 15.2.3, >= 12.0.0, < 12.3.5 13.5.9, 14.2.25, 15.2.3, 12.3.5
  24. Next.js authorization bypass vulnerability
    Wysoka · 7.5 CVE-2024-51479 >= 9.5.5, < 14.2.15 14.2.15
  25. Next.js Cache Poisoning
    Wysoka · 7.5 CVE-2024-46982 >= 13.5.1, < 13.5.7, >= 14.0.0, < 14.2.10 13.5.7, 14.2.10
  26. Next.js Denial of Service (DoS) condition
    Wysoka · 7.5 CVE-2024-39693 >= 13.3.1, < 13.5.0 13.5.0
  27. Next.js Server-Side Request Forgery in Server Actions
    Wysoka · 7.5 CVE-2024-34351 >= 13.4.0, < 14.1.1 14.1.1
  28. Next.js Vulnerable to HTTP Request Smuggling
    Wysoka · 7.5 CVE-2024-34350 >= 13.4.0, < 13.5.1 13.5.1
  29. Unexpected server crash in Next.js.
    Wysoka · 7.5 CVE-2021-43803 >= 12.0.0, < 12.0.5, >= 0.9.9, < 11.1.3 12.0.5, 11.1.3
  30. XSS in Image Optimization API for Next.js
    Wysoka · 7.5 CVE-2021-39178 >= 10.0.0, < 11.1.1 11.1.1
  31. Remote Code Execution in next
    Wysoka ghsa-5vj8-3v2h-h38v >= 0.9.9, < 5.1.0 5.1.0
  32. Directory traversal vulnerability in Next.js
    Wysoka · 7.5 CVE-2018-6184 >= 1.0.0, < 4.2.3 4.2.3
  33. Next.js Directory Traversal Vulnerability
    Wysoka · 7.5 CVE-2017-16877 >= 1.0.0, < 2.4.1 2.4.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.