CVE-2026-27978

概要

Next.jsは、フルスタックのWebアプリケーションを構築するためのReactフレームワークです。バージョン16.0.1以降、バージョン16.1.7より前のバージョンでは、Server ActionのCSRF検証中に`origin: null`が「欠落した」オリジンとして扱われていました。その結果、不透明なコンテキスト（サンドボックス化されたiframeなど）からのリクエストは、クロスオリジンリクエストとして検証される代わりに、オリジン検証をバイパスできてしまう可能性がありました。攻撃者は、被害者のブラウザを誘導してサンドボックス化されたコンテキストからServer Actionを送信させ、被害者の認証情報を使って状態を変更するアクションを実行させる可能性がありました（CSRF）。これはバージョン16.1.7で修正され、`'null'`を明示的なオリジン値として扱い、`experimental.serverActions.allowedOrigins`で`'null'`が明示的に許可リストに登録されていない限り、ホスト/オリジンのチェックを強制するようになりました。直ちにアップグレードできない場合は、機密性の高いServer ActionにCSRFトークンを追加し、機密性の高い認証Cookieには`SameSite=Strict`を優先的に使用し、意図的に必要で追加の保護が施されている場合を除き、`serverActions.allowedOrigins`に`'null'`を許可しないでください。

• Next.js-Proof-of-ConceptPoC

  Next.js の CVE-2025-29927、CVE-2026-27978、CVE-2026-29057 に関するいくつかの Proof-of-Concept（PoC）