CVE-2026-27978
Next.js：null 来源可绕过 Server Actions 的 CSRF 检查
- 已发布
- 2026年3月17日
- 已更新
- 2026年3月18日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月17日
初级CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X低 · 未来 30 天
- 百分位
- 10.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Next.js 是一个用于构建全栈 Web 应用的 React 框架。从 16.0.1 版本开始，直至 16.1.7 版本之前，`origin: null` 在 Server Action CSRF 校验期间被当作“缺失”的 origin 处理。因此，来自不透明上下文（例如沙箱化 iframe）的请求可以绕过 origin 验证，而不会被当作跨域请求进行校验。攻击者可以诱导受害者的浏览器从沙箱化上下文提交 Server Actions，从而可能利用受害者的凭据执行改变状态的恶意操作（CSRF）。该问题已在 16.1.7 版本中修复，修复方式是将 `'null'` 视为显式 origin 值，并强制执行 host/origin 检查，除非在 `experimental.serverActions.allowedOrigins` 中显式将 `'null'` 加入白名单。如果无法立即升级，请为敏感的 Server Actions 添加 CSRF 令牌，对敏感的身份验证 Cookie 优先使用 `SameSite=Strict`，并且除非确实需要且另有额外保护，否则不要在 `serverActions.allowedOrigins` 中允许 `'null'`。
来源
1一些针对Next.js中CVE-2025-29927、CVE-2026-27978和CVE-2026-29057的概念验证（POC）。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。