Next.js – TokyoBlackHatNews

NextJSに重大な欠陥、攻撃者が認証をバイパスしてSSRF攻撃を実行可能に

Vercelは、広く利用されているReactフレームワーク「Next.js」に9件のセキュリティ脆弱性を公表しました。このうち2件は深刻度が「Critical」に分類されており、攻撃者が認証ミドルウェアをバイパスしてサーバーサイドリクエストを乗っ取ることが可能になります。研究者KarimPwnz氏が公表したこれらの

gbhackers.com 6日前 13:43

Next.jsが9件のセキュリティ脆弱性を修正、SSRF・ミドルウェア回避・DoS・内部エンドポイント漏洩を防止

Next.jsチームは、App Router、Server Actions、リライト、画像最適化、キャッシュ、ミドルウェアのデプロイに影響する9件の脆弱性を修正するセキュリティアップデートをリリースしました。これらのアップデートは、サーバーサイドリクエストフォージェリ(SSRF)、認証バイパス、サービス拒否(DoS

cyberpress.org 2026年7月16日 22:02

Next.jsが月次セキュリティリリースプログラムを開始、AIによる脆弱性発見が急増

Vercelは、Next.jsに関する正式な月次セキュリティリリースプログラムを発表しました。これは、これまで同フレームワークの脆弱性対応を特徴づけてきた場当たり的なパッチ適用モデルからの転換となります。この方針転換の背景には、AI支援による脆弱性調査がソフトウェア業界全体で開示される脆弱性の件数を急増させていると

gbhackers.com 2026年7月16日 21:11

Next.jsが7月のセキュリティリリースを発表、深刻度「高」4件・「中」5件の脆弱性を修正へ

Next.jsのメンテナーは、9件の脆弱性への対応を目的とした7月のセキュリティリリースを予定していると発表しました。内訳は深刻度「高」が4件、「中」が5件です。パッチは2022年7月20日にリリースされる見込みで、Next.js 16.2および15.5の更新版が含まれます。 Next.jsの7月セキュリティリリー

meterpreter.org 2026年5月18日 16:09

オープンプロキシリスク：高度な重大度のNext.js SSRFの欠陥がクラウドメタデータエンドポイントを露出

開発フレームワークのNext.jsは、重大なセキュリティ脆弱性（CVE-2026-44578として指定）を修復しました。この脆弱性は、組み込みNode.jsサーバーランタイムを使用する自己ホスト型インフラストラクチャに展開されたアプリケーションに影響します。この欠陥は、Server-Side Request Forg

cyberpress.org 2026年5月15日 18:34

重大なNext.jsの脆弱性がクラウド認証情報、APIキー、管理パネルを露出

世界で最も広く使用されているReactフレームワークの1つであるNext.jsの高リスク脆弱性により、数千の組織が認証情報盗取、APIキー露出、内部管理パネルへの不正アクセスのリスクにさらされています。 CVE-2026-44578として追跡され、CVSSスコアは8.6で、セルフホスト型Next.jsアプリケーション

gbhackers.com 2026年5月15日 15:34

Next.jsのセキュリティ脆弱性がクラウド認証情報、APIキー、管理インターフェースを漏洩

最も広く使用されているReactフレームワークの1つであるNext.jsは、攻撃者が機密性の高いクラウド認証情報、APIキー、さらには内部管理インターフェースにアクセスすることを可能にする可能性がある高重度の脆弱性に見舞われています。 CVE-2026-44578として追跡されているこの欠陥は、特定のサーバー側デプロ

cyberscoop.com 2026年4月24日 07:12

Vercel攻撃の影響がさらに多くの顧客とサードパーティシステムに拡大

Vercelは内部システムへの攻撃の影響が予想されていたより多くの顧客に及んでいることが判明したと述べました。継続的な分析により、侵害の追加的な証拠が明らかになりました。開発者向けのツール提供とクラウドインフラストラクチャをホストしている同社は、「限定的な数の」アカウントが影響を受けたと述べていますが、この攻撃に関

infosecurity-magazine.com 2026年4月21日 19:25

Vercelがサイバーインシデントを確認：高度な攻撃者がサードパーティツールを悪用

Next.js開発者向けサービスを提供するVercelは、「非常に高度な」攻撃者による、機密性の高い内部データが脅威要因の手に渡った可能性があるサイバーインシデントを確認しました。開発者ツールとクラウドインフラストラクチャを提供する米国企業は、4月21日付の更新通知で、不正アクセスがサードパーティツール「Conte

gbhackers.com 2026年4月8日 10:29

ハッカーがNext.js React2Shell脆弱性を悪用、24時間で766ホストに侵入

ハッカーがNext.jsアプリケーションの重大なReact2Shell脆弱性を悪用して、24時間以内に少なくとも766台のサーバーを侵害した自動化された認証情報窃盗キャンペーンを実行している。この脅威活動は「UAT-10608」として追跡されており、NEXUS Listenerというカスタムフレームワークを利用して