CVE-2026-44579
Next.js: Denial of Service tramite esaurimento delle connessioni nelle applicazioni che utilizzano Cache Components
- Pubblicato
- 13 mag 2026
- Aggiornato
- 13 ago 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HBasso · prossimi 30 giorni
- Percentile
- 52,9%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Next.js è un framework React per la creazione di applicazioni web full-stack. Dalla versione precedente alla 15.5.16 e alla 16.2.5, le applicazioni che utilizzano il Partial Prerendering tramite la funzionalità Cache Components possono essere vulnerabili all'esaurimento delle connessioni attraverso richieste POST appositamente formulate verso una server action. Nelle configurazioni interessate, una richiesta dannosa può innescare un deadlock nella gestione del corpo della richiesta che lascia le connessioni aperte per un periodo prolungato, consumando descrittori di file e capacità del server fino a negare il servizio agli utenti legittimi. Questa vulnerabilità è corretta nelle versioni 15.5.16 e 16.2.5.
Fonti
1Collezione di PoC di sicurezza per Next.js v16.2.4 (CVE-2026-23870, CVE-2026-44575, CVE-2026-44579, CVE-2026-44574, CVE-2026-44578, CVE-2026-44573, CVE-2026-44581, CVE-2026-44580, CVE-2026-44577, CVE-2026-44576, CVE-2026-44582, CVE-2026-44572)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.