Vercel发布安全补丁：修复Next.js框架中包括SSRF与DoS在内的九项关键漏洞

网安百色

2026年7月24日 19:04
广西

在小说阅读器读本章

去阅读

Vercel已披露并修复了Next.js（广泛使用的React框架）中的九项安全漏洞，涉及服务端请求伪造（SSRF）、中间件认证绕过、拒绝服务（DoS）攻击及敏感数据泄露等风险。

所有九项安全公告均由安全研究员KarimPwnz于前日发布，目前已在Next.js版本15.5.21和16.2.11中完成修复。

此前，Next.js宣布将启动月度安全更新计划。本次更新将针对框架各受支持版本中的九类漏洞实施修复。

Next.js修复多项漏洞

最高危漏洞CVE-2026-64645（GHSA-p9j2-gv94-2wf4）为高危SSRF漏洞，影响重写（rewrites）功能，攻击者若能控制目标主机名，可强制服务器向任意内部端点发起请求。

该漏洞影响Next.js 12.0.0至15.5.21及16.0.0至16.2.11版本，当重写规则（rewrites()或redirects()）基于用户输入动态构建目标主机名时即可被利用。

第二项高危SSRF漏洞CVE-2026-64649（GHSA-89xv-2m56-2m9x）影响在自定义Node.js服务器上运行的Server Actions，允许攻击者将出站Server Action请求重定向至其控制的主机。

独立存在的CVE-2026-64642（GHSA-6gpp-xcg3-4w24）导致App Router应用中出现中间件与代理绕过问题：当应用使用Turbopack构建且配置了旧版middleware.ts及单区域i18n时，攻击者可能完全跳过授权检查。

同属高危级别的CVE-2026-64641（GHSA-m99w-x7hq-7vfj）允许攻击者通过恶意Server Actions请求在App Router应用中触发拒绝服务。

两项中危DoS漏洞同步修复：CVE-2026-64646（GHSA-4c39-4ccg-62r3）涉及Edge运行时中无限制的Server Action负载可能导致内存耗尽；CVE-2026-64644（GHSA-q8wf-6r8g-63ch）允许攻击者通过提交恶意SVG文件使图像优化API崩溃。

两项中危缓存混淆漏洞CVE-2026-64648（GHSA-68g3-v927-f742）和CVE-2026-64647（GHSA-4633-3j49-mh5q）在应用使用带请求体的缓存fetch()调用时（包括含无效UTF-8字节序列的情况），可能导致不同请求的响应体混杂。

特定缓存配置下，可能将用户数据错误返回给其他用户。最后一项中危漏洞CVE-2026-64643（GHSA-955p-x3mx-jcvp）在Cache Components与反射式Server Actions共用时，会向未认证攻击者泄露Server Function端点标识符。Vercel强调该泄露仅限于非敏感标识符，不涉及凭证或个人数据。

受影响版本与缓解措施

漏洞影响范围覆盖Next.js生态多个版本：重写SSRF漏洞可追溯至12.0.0版本，多项DoS及缓存问题始于13.0.0版本。

13.x及14.x等旧版主版本将不再获得直接修复，运行此类版本的组织需升级至已修复的15.x或16.x版本。

漏洞类型	CVE编号	严重程度
重写功能SSRF	CVE-2026-64645	高危
Server Actions SSRF（自定义服务器）	CVE-2026-64649	高危
中间件/代理绕过	CVE-2026-64642	高危
Server Actions触发DoS	CVE-2026-64641	高危
Edge运行时无限制负载	CVE-2026-64646	中危
图像优化DoS（SVG）	CVE-2026-64644	中危
缓存混淆（请求体）	CVE-2026-64648	中危
缓存混淆（无效UTF-8）	CVE-2026-64647	中危
Server Function端点泄露	CVE-2026-64643	中危