CVE-2026-44580
Next.js: Cross-site scripting negli script beforeInteractive con input non attendibile
- Pubblicato
- 13 mag 2026
- Aggiornato
- 13 mag 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 15,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Next.js è un framework React per la creazione di applicazioni web full-stack. Dalla versione 13.0.0 fino alla 15.5.16 e alla 16.2.5, le applicazioni che utilizzano script `beforeInteractive` insieme a contenuti non attendibili possono essere vulnerabili a cross-site scripting. Nelle versioni interessate, il contenuto serializzato degli script non veniva escapato in modo sicuro prima di essere incorporato nel documento, il che poteva consentire a input controllati dall'attaccante di fuoriuscire dal contesto dello script previsto ed eseguire JavaScript arbitrario nel browser di un visitatore. Questa vulnerabilità è corretta nelle versioni 15.5.16 e 16.2.5.
Fonti
Collezione di PoC di sicurezza per Next.js v16.2.4 (CVE-2026-23870, CVE-2026-44575, CVE-2026-44579, CVE-2026-44574, CVE-2026-44578, CVE-2026-44573, CVE-2026-44581, CVE-2026-44580, CVE-2026-44577, CVE-2026-44576, CVE-2026-44582, CVE-2026-44572)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.