CVE-2026-44578highCWE-918

CVE-2026-44578: fallo de gravedad alta en vercel next.js

Next.js: Server-side request forgery in applications using WebSocket upgrades

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear next.js+ Monitorear next

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

70Vexday Risk Score

Corrige pronto. Ella tiene exploit funcional público.

ssvc Attendcvss 8.6epss 36%
de la publicación al armael mismo día
Publicada en NVD13 may
1ª PoC13 may
En resumen

Las aplicaciones Next.js que utilizan actualizaciones de WebSocket pueden ser engañadas para realizar solicitudes a servidores internos o externos que no deberían acceder, exponiendo potencialmente servicios internos sensibles o metadatos en la nube. Esto solo afecta a implementaciones auto-hospedadas, no a las alojadas en Vercel.

Detalle técnico

Vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) en Next.js versiones 13.4.13 hasta 15.5.15 y 16.0.0 hasta 16.2.4 cuando se utiliza el servidor Node.js integrado. Los atacantes pueden crear solicitudes maliciosas de actualización de WebSocket para forzar al servidor a hacer proxy de solicitudes HTTP/HTTPS a destinos arbitrarios, eludiendo controles de acceso de red y potencialmente recuperando respuestas de servicios internos o metadatos sensibles.

Resumen generado y traducido por IA a partir de la descripción oficial.
Next.js is a React framework for building full-stack web applications. From 13.4.13 to before 15.5.16 and 16.2.5, self-hosted applications using the built-in Node.js server can be vulnerable to server-side request forgery through crafted WebSocket upgrade requests. An attacker can cause the server to proxy requests to arbitrary internal or external destinations, which may expose internal services or cloud metadata endpoints. Vercel-hosted deployments are not affected. This vulnerability is fixed in 15.5.16 and 16.2.5.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Productos afectados
vercel · next.js
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — vercel next.js

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-29927CRITICALAuthorization Bypass in Next.js MiddlewareEPSS 99.2%CVE-2024-46982HIGHCache Poisoning in next.jsEPSS 59.2%CVE-2021-43803HIGHUnexpected server crash in Next.jsEPSS 47.3%CVE-2024-34351HIGHNext.js Server-Side Request Forgery in Server ActionsEPSS 5.5%CVE-2024-51479HIGHAuthorization bypass in Next.jsEPSS 4.0%CVE-2025-57822MEDIUMNext.js Improper Middleware Redirect Handling Leads to SSRFEPSS 2.6%