Vercelは、広く利用されているReactフレームワーク「Next.js」に9件のセキュリティ脆弱性を公表しました。このうち2件は深刻度が「Critical」に分類されており、攻撃者が認証ミドルウェアをバイパスしてサーバーサイドリクエストを乗っ取ることが可能になります。
研究者KarimPwnz氏が公表したこれらのアドバイザリは、バージョン12.0.0から16.2.10までに影響し、15.5.21および16.2.11で修正パッチが提供されています。
最も深刻な問題はCVE-2026-64642(CVSS 4.0、深刻度High)として追跡されており、Turbopackでビルドされconfig.i18n.localesに単一のロケールエントリを使用しているApp Routerアプリケーションに影響します。
細工されたリクエストによってミドルウェアやプロキシベースの認証を完全にバイパスされ、保護されたルートへの不正アクセスを許してしまいます(CWE-285: 不適切な認可)。
アクセス制御をミドルウェアのみに依存している組織は、これを緊急事態として扱い、暫定対策としてサーバーサイドのデータパス内で直接認可チェックを実施すべきです。
CVE-2026-64645(CVSS 4.0、深刻度High)は、動的なパスセグメントやhasキャプチャなど、リクエストで制御可能な入力から宛先ホスト名を構築するrewrites()およびredirects()の設定に影響します。
攻撃者はホスト名を任意の宛先にリダイレクトさせることができ、Next.jsがアプリケーション自身のオリジンからレスポンスを返しているように見せかけながら、悪意あるホストへリクエストをプロキシしてしまいます。これは典型的なSSRF(CWE-918)です。
関連する脆弱性であるCVE-2026-64649は、Hostヘッダーが固定されていないカスタムサーバー上のServer Actionsに影響し、同様にSSRFを可能にするほか、内部の値が漏えいする可能性もあります。Vercelが管理するホスティング環境、および14.2以降の標準的なnext startによるデプロイは影響を受けません。
今回の公表には、中〜高程度の深刻度を持つ複数のバグも含まれています。
KarimPwnz氏のアドバイザリによると、すべてのユーザーは利用しているメジャーバージョン系統に応じて、直ちにNext.js 15.5.21または16.2.11にアップグレードするよう強く求められています。
即座にアップグレードできない場合、チームはrewrite/redirectルールにおける動的ホスト名を制限し、プロキシ層でHostおよびX-Forwarded-Hostヘッダーを固定し、Edge Server Actionのペイロードサイズを制限し、use serverおよびuse cacheの境界内で認証を明示的に検証する対応を取るべきです。
今回の一連の脆弱性は認証バイパスと複数のSSRFの欠陥を組み合わせたものであるため、セルフホストやカスタムサーバーでのデプロイにおいては、回避策よりもパッチ適用を優先すべきです。
ANY.RUNでSOCの調査の死角を減らし、脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/critical-next-js-flaws-ssrf-attacks/
