The version of Next.js installed on the remote host is 10.0.0 prior to 15.5.10 or 16.0.0 prior to 16.1.5. It is, therefore, affected by multiple vulnerabilities:

- A denial of service vulnerability in the Image Optimizer of self-hosted applications with remotePatterns configured, as external images are loaded entirely into memory without a maximum size limit. (CVE-2025-59471)

- A denial of service vulnerability with Server Components. This issue only affects versions 13.0.0 and later and is also fixed in versions 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11 and 16.0.11. (CVE-2026-23864)

- A denial of service vulnerability in applications with Partial Prerendering (PPR) enabled when running in minimal mode, due to unbounded request body buffering and decompression. This issue only affects versions 16.1.0 and later. (CVE-2025-59472)

Note that the scanner has not attempted to exploit these issues but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when
    running in minimal mode. The PPR resume endpoint accepts unauthenticated POST requests with the `Next-
    Resume: 1` header and processes attacker-controlled postponed state data. Two closely related
    vulnerabilities allow an attacker to crash the server process through memory exhaustion: 1. **Unbounded
    request body buffering**: The server buffers the entire POST request body into memory using
    `Buffer.concat()` without enforcing any size limit, allowing arbitrarily large payloads to exhaust
    available memory. 2. **Unbounded decompression (zipbomb)**: The resume data cache is decompressed using
    `inflateSync()` without limiting the decompressed output size. A small compressed payload can expand to
    hundreds of megabytes or gigabytes, causing memory exhaustion. Both attack vectors result in a fatal V8
    out-of-memory error (`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`)
    causing the Node.js process to terminate. The zipbomb variant is particularly dangerous as it can bypass
    reverse proxy request size limits while still causing large memory allocation on the server. To be
    affected you must have an application running with `experimental.ppr: true` or `cacheComponents: true`
    configured along with the NEXT_PRIVATE_MINIMAL_MODE=1 environment variable. Strongly consider upgrading to
    15.6.0-canary.61 or 16.1.5 to reduce risk and prevent availability issues in Next applications.
    (CVE-2025-59472)

远程主机上的 Next.js Framework 受到拒绝服务漏洞的影响

  - 在启用了部分预渲染 (PPR) 的 Next.js 版本中以最小模式运行时存在拒绝服务漏洞。PPR 恢复端点接受带有 Next-Resume: 1 标头的未经身份验证的 POST 请求并处理攻击者控制的延迟状态数据。两个密切相关的漏洞可让攻击者通过耗尽内存造成服务器进程崩溃一个是 unbounded 请求正文缓冲服务器在不强制执行任何大小限制的情况下使用 Buffer.concat() 将整个 POST 请求正文缓冲到内存中一个是 unbounded 解压缩 (zipbomb)在没有限制解压缩输出大小的情况下使用 inflateSync() 对恢复数据缓存进行解压缩。这两个攻击载体都会导致致命 V8 内存不足错误从而导致 Node.js 进程终止。 (CVE-2025-59472)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上的 Next.js Framework 受到一個拒絕服務弱點影響

  - 在最小模式下執行時若已啟用部分預先呈現 (PPR) 的 Next.js 版本存在一個拒絕服務弱點。PPR 恢復端點接受帶有 Next-Resume: 1 標頭的未經驗證 POST 要求並處理攻擊者控制的延遲狀態資料。兩個密切相關的弱點可讓攻擊者透過記憶體耗盡來損毀伺服器處理程序以及無限制的解壓縮 (zipbomb)使用 inflateSync() 在未限制解壓縮輸出大小的情況下解壓縮恢復資料快取。兩個攻擊向量都會導致嚴重的 V8 記憶體不足錯誤進而造成 Node.js 處理程序終止。 (CVE-2025-59472)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在最小模式下執行時若已啟用部分預先呈現 (PPR) 的 Next.js 版本存在一個拒絕服務弱點。PPR 恢復端點接受未經驗證且具有 `Next-Resume: 1` 標頭的 POST 要求並處理攻擊者控制的延遲狀態資料。兩個密切相關的弱點可讓攻擊者透過記憶體耗盡造成伺服器處理程序損毀 1. **無限制要求內文緩衝**：伺服器使用 `Buffer.concat()` 將整個 POST 要求內文緩衝到記憶體中而不強制執行任何大小限制進而允許任意大型承載耗盡可用記憶體。 2. **無限制的解壓縮 (zipbomb)**：使用 `inflateSync()` 解壓縮恢復資料快取時未限制解壓縮的輸出大小。小型壓縮承載可擴充至數百 MB 或 GB進而造成記憶體耗盡。兩個攻擊向量都會導致嚴重的 V8 記憶體不足錯誤 (`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`)進而造成 Node.js 處理程序終止。zipbomb 變體特別危險因為其可繞過反向代理伺服器要求大小限制同時仍會在伺服器上造成大量記憶體配置。若要受到影響您必須以 `experimental.ppr: true` 或 `cacheComponents: true` 執行應用程式並設定 NEXT_PRIVATE_MINIMAL_MODE=1 環境變數。強烈考慮升級至 15.6.0-canary.61 或 16.1.5 以降低風險並防止 Next 應用程式中出現可用性問題。
    (CVE-2025-59472)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在启用了部分预渲染 (PPR) 的 Next.js 版本中以最小模式运行时存在拒绝服务漏洞。PPR 恢复端点接受包含“Next-Resume: 1”标头的未经身份验证的 POST 请求并会处理攻击者控制的延迟状态数据。密切相关的两个漏洞可让攻击者通过耗尽内存使服务器进程崩溃1. **不受限制的请求正文缓冲**服务器使用“Buffer.concat()”将整个 POST 请求正文缓冲到内存中而未强制执行任何大小限制。允许任意大的负载耗尽可用内存。 2. **无限解压缩 (zipbomb)**使用“inflateSync()”对恢复数据缓存进行解压缩，而不限制解压缩的输出大小。小型压缩负载可扩展至数百兆或千兆字节从而导致内存耗尽。这两个攻击载体都会导致致命的 V8 内存不足错误“致命错误: 已达到堆限制 分配失败 - JavaScript 堆内存不足”，从而造成 Node.js 进程终止。zipbomb 变体 特别危险因为它可以绕过反向代理请求大小限制同时仍然在服务器上造成大量内存分配。运行的应用程序必须配置为“experimental.ppr: true”或“cacheComponents: true”以及 NEXT_PRIVATE_MINIMAL_MODE=1 环境变量您才会受到影响。强烈考虑升级到 15.6.0-canary.61 或 16.1.5 以降低风险并防止 Next 应用程序中出现可用性问题。
    (CVE-2025-59472)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストのNext.js Frameworkは、サービス拒否の脆弱性の影響を受けます

  - 最小モードで実行しているときに部分的な事前レンダリングPPRが有効になっているNext.jsバージョンに、サービス拒否の脆弱性があります。PPR再開エンドポイントは、Next-Resume:1ヘッダーを持つ認証されていないPOSTリクエストを受け入れ、攻撃者が制御する延期された状態データを処理します。密接に関連する 2 つの脆弱性により、攻撃者がメモリ枯渇を通じてサーバープロセスをクラッシュさせる可能性があります。サイズ制限を強制することなく Buffer.concat() を使用してサーバーが POST リクエスト本文全体をメモリにバッファリングする無制限のリクエスト本体バッファリング。また、際限のない展開zipbomb再開データキャッシュは、展開された出力サイズを制限せずに inflateSync() を使用して展開されます。どちらの攻撃ベクトルも、致命的な V8 メモリ不足エラーを発生させ、Node.js プロセスを終了させます。CVE-2025-59472

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 最小モードで実行しているときに部分的な事前レンダリングPPRが有効になっているNext.jsバージョンに、サービス拒否の脆弱性があります。PPR 再開エンドポイントは、「Next-Resume: 1」ヘッダーを持つ認証されていない POST リクエストを受け入れ、攻撃者が制御する延期された状態データを処理します。密接に関連する 2 つの脆弱性により、攻撃者がメモリ枯渇を通じてサーバープロセスをクラッシュさせる可能性があります。1. **無制限のリクエスト本文バッファリング**サーバーは、サイズ制限を強制することなく「Buffer.concat()」を使用して POST リクエスト本文全体をメモリにバッファリングしますが任意の大きなペイロードで利用可能なメモリを枯渇させる可能性があります。 2. **無制限の展開zipbomb**再開データキャッシュは、展開された出力サイズを制限せずに「inflateSync()」を使用して展開されます。小さな圧縮されたペイロードが数百のメガバイトまたはギガバイトに拡大し、メモリの枯渇が起こる可能性があります。どちらの攻撃ベクトルも致命的な V8 メモリ不足エラー (「FATAL ERROR: Reached heap limit Allocation failed - JavaScript ヒープメモリ不足」) を発生させ、Node.js プロセスを終了させます。zipbomb バリアントは、サーバーで大きなメモリ割り当てを起こしている間に、リバースプロキシリクエストサイズ制限をバイパスする可能性があるため、特に危険です。影響を受けるには、NEXT_PRIVATE_MINIMAL_MODE=1 環境変数とともに、「experimental.ppr: true」または「cacheComponents: true」を構成して実行しているアプリケーションが必要です。次の アプリケーションでリスクを軽減し、可用性の問題を回避するために、 15.6.0-canary.61 または 16.1.5 へのアップグレードを強く検討してください。
    (CVE-2025-59472)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when     running in minimal mode. The PPR resume endpoint accepts unauthenticated POST requests with the `Next-     Resume: 1` header and processes attacker-controlled postponed state data. Two closely related     vulnerabilities allow an attacker to crash the server process through memory exhaustion: 1. **Unbounded     request body buffering**: The server buffers the entire POST request body into memory using     `Buffer.concat()` without enforcing any size limit, allowing arbitrarily large payloads to exhaust     available memory. 2. **Unbounded decompression (zipbomb)**: The resume data cache is decompressed using     `inflateSync()` without limiting the decompressed output size. A small compressed payload can expand to     hundreds of megabytes or gigabytes, causing memory exhaustion. Both attack vectors result in a fatal V8     out-of-memory error (`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`)     causing the Node.js process to terminate. The zipbomb variant is particularly dangerous as it can bypass     reverse proxy request size limits while still causing large memory allocation on the server. To be     affected you must have an application running with `experimental.ppr: true` or `cacheComponents: true`     configured along with the NEXT_PRIVATE_MINIMAL_MODE=1 environment variable. Strongly consider upgrading to     15.6.0-canary.61 or 16.1.5 to reduce risk and prevent availability issues in Next applications.
    (CVE-2025-59472)

Note that Nessus relies on the presence of the package as reported by the vendor.

The Next.js Framework on the remote host is affected by a denial of service vulnerability:

  - A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when     running in minimal mode. The PPR resume endpoint accepts unauthenticated POST requests with the Next-Resume: 1     header and processes attacker-controlled postponed state data. Two closely related vulnerabilities allow an     attacker to crash the server process through memory exhaustion: unbounded request body buffering where the     server buffers the entire POST request body into memory using Buffer.concat() without enforcing any size limit,     and unbounded decompression (zipbomb) where the resume data cache is decompressed using inflateSync() without     limiting the decompressed output size. Both attack vectors result in a fatal V8 out-of-memory error causing     the Node.js process to terminate. (CVE-2025-59472)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
115763	Next.js 16.0.x < 16.1.5 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	high
115762	Next.js 10.0.0 < 15.5.10 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	high
437343	SCA: security update for next (GHSA-5f7q-jpqc-wp7h)	Tenable Cloud Security	SCA Checks	1/28/2026	8/31/2026	high
437343	SCA: security update for next (GHSA-5f7q-jpqc-wp7h)	Tenable Self-Hosted Container Security	SCA Checks	1/28/2026	8/31/2026	high
297815	Next.js Framework 15.x < 15.6.0-canary.61 / 16.x < 16.1.5 PPR 恢复端点 DoS (GHSA-5f7q-jpqc-wp7h)	Nessus	Misc.	2/4/2026	7/23/2026	high
297815	Next.js Framework 15.x < 15.6.0-canary.61 / 16.x < 16.1.5 PPR 繼續端點 DoS (GHSA-5f7q-jpqc-wp7h)	Nessus	Misc.	2/4/2026	7/23/2026	high
297048	Linux Distros 未修補的弱點：CVE-2025-59472	Nessus	Misc.	1/28/2026	11/5/2026	high
297048	Linux Distros 未修补的漏洞：CVE-2025-59472	Nessus	Misc.	1/28/2026	11/5/2026	high
297815	Next.js Framework 15.x < 15.6.0-canary.61/ 16.x < 16.1.5 PPR 再開エンドポイントの DoSGHSA-5f7q-jpqc-wp7h	Nessus	Misc.	2/4/2026	7/23/2026	high
297048	Linux Distros のパッチ未適用の脆弱性: CVE-2025-59472	Nessus	Misc.	1/28/2026	11/5/2026	high
297048	Linux Distros Unpatched Vulnerability : CVE-2025-59472	Nessus	Misc.	1/28/2026	11/5/2026	high
297815	Next.js Framework 15.x < 15.6.0-canary.61 / 16.x < 16.1.5 PPR Resume Endpoint DoS (GHSA-5f7q-jpqc-wp7h)	Nessus	Misc.	2/4/2026	7/23/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high