CVE-2026-44581
Next.js: CSP नॉन्स का उपयोग करने वाले App Router अनुप्रयोगों में क्रॉस-साइट स्क्रिप्टिंग
- प्रकाशित
- 13 मई 2026
- अद्यतन
- 18 मई 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 25 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:Nकम · अगले 30 दिन
- प्रतिशत
- 15.0%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Next.js एक React फ्रेमवर्क है जिसका उपयोग फुल-स्टैक वेब एप्लिकेशन बनाने के लिए किया जाता है। 13.4.0 से 15.5.16 से पहले और 16.2.5 तक के संस्करणों में, App Router एप्लिकेशन जो CSP nonce पर निर्भर करते हैं, साझा कैश (shared caches) के पीछे तैनात होने पर संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (stored cross-site scripting) के प्रति संवेदनशील हो सकते हैं। प्रभावित संस्करणों में, अनुरोध हेडर से प्राप्त गलत (malformed) nonce मान असुरक्षित तरीके से रेंडर किए गए HTML में प्रतिबिंबित हो सकते हैं, जिससे एक हमलावर कैश की गई प्रतिक्रियाओं को दूषित कर सकता है और बाद के विज़िटरों के लिए स्क्रिप्ट निष्पादन का कारण बन सकता है। यह भेद्यता 15.5.16 और 16.2.5 में ठीक कर दी गई है।
स्रोत
Next.js v16.2.4 सुरक्षा PoC संग्रह (CVE-2026-23870, CVE-2026-44575, CVE-2026-44579, CVE-2026-44574, CVE-2026-44578, CVE-2026-44573, CVE-2026-44581, CVE-2026-44580, CVE-2026-44577, CVE-2026-44576, CVE-2026-44582, CVE-2026-44572)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।