Next.js Framework 13.x < 15.5.21 / 16.x < 16.2.11 多种漏洞
medium Nessus 插件 ID 342581
语言：
简介
远程主机上运行的 Next.js Framework 受到多种漏洞的影响。描述
远程主机上的 Next.js Framework 受到多种漏洞的影响：- 包含请求正文的服务器端提取可能将来自不同请求的缓存响应正文返回到相同的 URL，但正文不同。然后，POST 响应正文中的机密数据会泄漏给未经授权的请求，不过请求本身不会被重复数据删除。此问题仅适用于具有与传递给提取的 init 不同的请求的 fetch 调用。使用 Pages Router 的应用程序不易受到影响。（CVE-2026-64648）
- 如果该服务器操作使用 Edge 运行时，则以使用至少一个服务器操作的 App Router 的 Next.js 应用程序为目标的请求可导致过量内存消耗。（CVE-2026-64646）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Next.js Framework 版本或16.2.11更高版本15.5.21。另见
插件详情
严重性: Medium
ID: 342581
文件名: nextjs_framework_CVE-2026-64646.nasl
版本: 1.2
类型: Local
代理: windows, macosx, unix
系列: Misc.
发布时间: 2026/9/3
最近更新时间: 2026/9/4
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 2.1
百分位: 7.94
CVSS v2
风险因素: Medium
基本分数: 6.4
时间分数: 4.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 分数来源: CVE-2026-64648
CVSS v3
风险因素: Medium
基本分数: 5.4
时间分数: 4.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-64646
漏洞信息
CPE: cpe:/a:vercel:next.js
必需的 KB 项: Host/nodejs/modules/enumerated
易利用性: No known exploits are available
补丁发布日期: 2026/7/22
漏洞发布日期: 2026/7/22
参考资料信息
CVE: CVE-2026-64646, CVE-2026-64648