nextjs.vnEnglish

Tất cả lỗ hổng

Thực thi mã từ xa trên máy chủ chạy Windows

Nghiêm trọng CVSS 9 · Công bố 08/09/2026 · GHSA-p293-qw3h-jr36 · CVE-2026-75604

Tiêu đề gốc: Next.js: Unauthenticated Remote Code Execution on windows-hosted servers

Chuyện gì xảy ra

Ứng dụng Pages Router hoặc App Router (không dùng Cache Components) có thể bị chạy mã từ xa mà không cần đăng nhập khi máy chủ dùng hệ thống tệp Windows. Lỗi thuộc nhóm duyệt đường dẫn (CWE-22).

Ai bị ảnh hưởng

  • Next.js từ 13.4.0 chạy trên máy dùng hệ thống tệp Windows, Pages Router hoặc App Router không bật Cache Components.
  • Máy chủ Linux hoặc macOS không thuộc điều kiện nêu trong cảnh báo.

Bản bị ảnh hưởng và bản vá

Bản bị ảnh hưởngBản vá
>= 13.4.0, < 15.5.2415.5.24
>= 16.0.0, < 16.3.316.3.3

Cách xử lý

  • Không có cách tạm thời nào. Cảnh báo khuyên nâng cấp ngay nếu máy chủ chạy Windows.

Tự kiểm tra

  • Xác định máy chủ chạy next start hoặc server.js là Windows hay không.
  • Chạy npm ls next và so với bảng dưới.

Nguồn

Viết lại từ cảnh báo gốc; phiên bản lấy từ GitHub Advisory Database (CC-BY-4.0), cập nhật 29/10/2026. Khi có khác biệt, cảnh báo gốc là chuẩn.