7.5 Élevée

CVE-2026-45109 Next.js: Middleware / Proxy bypass in App Router applications via segment-prefetch routes

Description

Next.js is a React framework for building full-stack web applications. From 15.2.0 to before 15.5.18 and 16.2.6, it was found that the fix addressing CVE-2026-44575 did not apply to middleware.ts with Turbopack. This vulnerability is fixed in 15.5.18 and 16.2.6.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
next.js 16.0	16.0.0 → < 16.2.6	16.2.6
next.js 15.2	15.2.0 → < 15.5.17	15.5.17
Red Hat Enterprise Linux AI (RHEL AI) 3	Versions non publiées
Red Hat Trusted Artifact Signer	Versions non publiées
streams for Apache Kafka 2	Versions non publiées
streams for Apache Kafka 3	Versions non publiées
Red Hat Enterprise Linux 10	Versions non publiées
Red Hat Enterprise Linux 7	Versions non publiées
Red Hat Enterprise Linux 8	Versions non publiées

Afficher les 4 autres branches

Produit	Versions touchées	Corrigé en
Red Hat Enterprise Linux 9	Versions non publiées
Streams for Apache Kafka 2.9.4	Versions non publiées
Red Hat Trusted Artifact Signer 1.4 1783327185	premières → < 1783327185	1783327185
Red Hat Trusted Artifact Signer 1.3 1783958622	premières → < 1783958622	1783958622

Références

github.com github.com
github.com github.com
github.com github.com
github.com github.com
vercel.com vercel.com

Chronologie

Publiée 13 mai 2026
Dernière modification 4 novembre 2026

Les 57 CVE de next.js →

CVE-2026-94482 Next.js is a React framework for building full-stack web applications 8.2 Élevée CVE-2026-94484 Next.js is a React framework for building full-stack web applications 6.3 Moyenne CVE-2026-94485 Next.js is a React framework for building full-stack web applications 6.3 Moyenne CVE-2026-94483 Next.js is a React framework for building full-stack web applications 8.3 Élevée

Suivre cette CVE