CVE-2026-44575
Publiée le 2026-05-13 · Dernière modification le 2026-10-26
Les applications Next.js utilisant l'App Router et l'autorisation basée sur des middlewares sont concernées. Un attaquant distant non authentifié peut contourner les contrôles de sécurité pour accéder à du contenu protégé en demandant des variantes d'URL spécifiques `.rsc` ou de préchargement (prefetch) que le middleware ne parvient pas à intercepter. Cette exploitation est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, au-delà d'une requête réseau standard.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Next.js is a React framework for building full-stack web applications. From 15.2.0 to before 15.5.16 and 16.2.5, App Router applications that rely on middleware or proxy-based checks for authorization can allow unauthorized access through transport-specific route variants used for segment prefetching. In affected configurations, specially crafted .rsc and segment-prefetch URLs can resolve to the same page without being matched by the intended middleware rule, which can allow protected content to be reached without the expected authorization check. This vulnerability is fixed in 15.5.16 and 16.2.5.