The version of Next.js installed on the remote host is 12.0.0 prior to 15.5.21 or 16.0.0 prior to 16.2.11. It is, therefore, affected by multiple vulnerabilities:

- A Server-Side Request Forgery vulnerability in rewrites via an attacker-controlled destination hostname. (CVE-2026-64645)

- A Server-Side Request Forgery vulnerability in Server Actions on custom servers. This issue only affects versions 14.1.1 and later. (CVE-2026-64649)

- A Middleware / Proxy bypass in App Router applications using Turbopack and a single locale. This issue only affects versions 16.0.0 and later. (CVE-2026-64642)

- A denial of service vulnerability in App Router applications using Server Actions. This issue only affects versions 13.0.0 and later. (CVE-2026-64641)

- A denial of service vulnerability due to unbounded Server Action payloads in the Edge runtime. This issue only affects versions 13.0.0 and later. (CVE-2026-64646)

- A denial of service vulnerability in the Image Optimization API using SVGs. This issue only affects versions 15.5.0 and later. (CVE-2026-64644)

- A cache confusion of response bodies for requests with bodies. This issue only affects versions 13.0.0 and later. (CVE-2026-64648)

- A cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences. This issue only affects versions 13.0.0 and later. (CVE-2026-64647)

- An unauthenticated disclosure of internal Server Function endpoints. This issue only affects versions 13.0.0 and later. (CVE-2026-64643)

Note that the scanner has not attempted to exploit these issues but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Next.js is a React framework for building full-stack web applications. In versions 12.0.0 through 15.5.20
    and 16.0.0 through 16.2.10, Next.js applications using App Router, Server Actions (use server) or use
    cache endpoints can be disclosed bypassing any authentication on the pages where these endpoints are
    usually used. Server Action IDs can be disclosed to unauthenticated users via publicly served client
    artifacts (for example, static chunks containing action references). Affected users are applications using
    App Router and Server Actions. By itself, this disclosure is typically a recon/enumeration primitive;
    however, it can increase risk when combined with other weaknesses. This issue has been fixed in versions
    15.5.21 and 16.2.11. (CVE-2026-64643)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Next.js 是一個用於構建全棧 Web 應用程序的 React 框架。在整個15.5.2016.0.016.2.10版本12.0.0中，使用應用程式路由器、伺服器操作（使用伺服器）或使用快取端點的Next.js應用程式可以繞過通常使用這些端點的頁面上的任何身份驗證來披露。伺服器動作 ID 可以透過公開服務的用戶端成品 （例如，包含動作參照的靜態區塊） 揭露給未經驗證的使用者。受影響的使用者是使用應用程式路由器和伺服器動作的應用程式。就其本身而言，此揭露通常是偵察/列舉基本類型;
    然而，當與其他弱點結合使用時，它會增加風險。此問題已在 15.5.21 和 16.2.11 版中修正。(CVE-2026-64643)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Next.js 是用于构建全栈 Web 应用程序的 React 框架。在 12.0.0 版本中 15.5.2016.0.016.2.10，Next.js使用应用程序路由器、服务器操作（使用服务器）或使用缓存端点的应用程序可能会被泄露，绕过通常使用这些端点的页面上的任何身份验证。服务器操作 ID 可通过公开提供的客户端构件（例如，包含操作引用的静态区块）泄露给未经认证的用户。受影响的用户为使用应用程序路由器和服务器操作的应用程序。就其本身而言，此泄露通常是一个侦察/枚举原语;
    然而，当它与其他弱点相结合时，它会增加风险。此问题已在 15.5.21 和 16.2.11 版本中修复。(CVE-2026-64643)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタックの Web アプリケーションを構築するための React フレームワークです。12.0.0から15.5.20、16.0.0から16.2.10までのバージョンでは、App Router、Server Actions(サーバーを使用)、またはキャッシュエンドポイントを使用するNext.jsアプリケーションが、これらのエンドポイントが通常使用されるページで認証をバイパスして漏えいする可能性があります。サーバーアクション ID は、公開されているクライアントアーティファクト (アクション参照を含む静的チャンクなど) を通じて、認証されていないユーザーに漏洩する可能性があります。影響を受けるユーザーは、App Router および Server Actions を使用しているアプリケーションです。この開示自体は通常、偵察/列挙プリミティブです。
    ただし、他の弱点と組み合わせるとリスクが増す可能性があります。この問題はバージョン 15.5.21 および 16.2.11 で修正されています。(CVE-2026-64643)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Next.js is a React framework for building full-stack web applications. In versions 12.0.0 through 15.5.20     and 16.0.0 through 16.2.10, Next.js applications using App Router, Server Actions (use server) or use     cache endpoints can be disclosed bypassing any authentication on the pages where these endpoints are     usually used. Server Action IDs can be disclosed to unauthenticated users via publicly served client     artifacts (for example, static chunks containing action references). Affected users are applications using     App Router and Server Actions. By itself, this disclosure is typically a recon/enumeration primitive;
    however, it can increase risk when combined with other weaknesses. This issue has been fixed in versions     15.5.21 and 16.2.11. (CVE-2026-64643)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
115757	Next.js 16.0.x < 16.2.11 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2026/11/6	2026/11/6	high
115756	Next.js 12.0.0 < 15.5.21 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2026/11/6	2026/11/6	high
457151	Echo: next: security update to 15.5.21	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
457151	Echo: next: security update to 15.5.21	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
445135	SCA: security update for next (GHSA-955p-x3mx-jcvp)	Tenable Cloud Security	SCA Checks	2026/7/23	2026/8/10	medium
445135	SCA: security update for next (GHSA-955p-x3mx-jcvp)	Tenable Self-Hosted Container Security	SCA Checks	2026/7/23	2026/8/10	medium
330674	Linux Distros 未修補弱點：CVE-2026-64643	Nessus	Misc.	2026/7/29	2026/11/6	medium
330674	Linux Distros 未修补的漏洞：CVE-2026-64643	Nessus	Misc.	2026/7/29	2026/11/6	medium
330674	Linux Distros のパッチ未適用の脆弱性: CVE-2026-64643	Nessus	Misc.	2026/7/29	2026/11/6	medium
330674	Linux Distros Unpatched Vulnerability : CVE-2026-64643	Nessus	Misc.	2026/7/29	2026/11/6	medium

偵測

搜尋 Plugin

high

high

medium

medium

medium

medium

medium

medium

medium

medium