The version of Next.js installed on the remote host is 15.0.0 prior to 15.5.27 or 16.0.0 prior to 16.3.8. It is, therefore, affected by multiple vulnerabilities:

- A Server-Side Request Forgery vulnerability in the Image Optimization API, where an attacker-controlled, allow-listed remote URL can lead to requests to private IP addresses. This issue only affects versions 16.0.0 and later. (CVE-2026-94483)

- A cache poisoning vulnerability in self-hosted applications using the Pages Router with SSG or ISR pages, allowing a page's cache entry to be replaced with content from a different route. (CVE-2026-94543)

- A cache poisoning vulnerability in applications using a root-level catch-all page together with SSG or ISR routes, leading to cross-user content substitution and persistent denial of service. (CVE-2026-94484)

- An information disclosure vulnerability in App Router metadata image routes built with webpack, which ignore the 'dynamicParams' route segment option. (CVE-2026-94485)

- An information disclosure vulnerability where pending 'use cache' fills are shared between Draft Mode and regular requests, leaking unpublished content. This issue only affects versions 16.0.0 and later. (CVE-2026-94544)

- A cache leak across root param values in nested 'use cache' functions when Cache Components are enabled. This issue only affects versions 16.0.0 and later. (CVE-2026-103004)

- An information disclosure vulnerability in the development server's Model Context Protocol endpoint, which does not verify the request origin. This issue only affects versions 16.0.0 and later. (CVE-2026-94486)

Note that the scanner has not attempted to exploit these issues but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Next.js versions from 16.3.0 to 16.3.7 warm `use cache` handlers using `next/root-params` and can leak
    their return value to pages with different root params. With Cache Components enabled (cacheComponents:
    true), a 'use cache' function that calls another 'use cache' function that reads a root param can be keyed
    incorrectly when the inner call is served from an existing entry: the enclosing function's cache key then
    omits that root param. The enclosing entry is written once and reused for all root param values, so a
    response for one root param value can serve content produced for a different value — whether the page is
    prerendered at build time or at runtime, or rendered dynamically. Shared cache headers let downstream
    caches redistribute the content further. What values are leaked cannot be attacker controlled. Which
    value's content is served depends only on which invocation wrote the entry first. This has been patched in
    16.3.8. (CVE-2026-103004)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Next.js版本 16.3.0 為 16.3.7 使用 'next/root-params' 來加熱「使用快取」處理常式，並可能將其傳回值洩漏給具有不同根參數的頁面。啟用快取元件後 （cacheComponents：
    true），當從現有項目提供內部呼叫時，呼叫另一個讀取根參數的「使用快取」函式的「使用快取」函式可能會被錯誤地鍵入：然後，封閉函式的快取金鑰會省略該根參數。內附項目會寫入一次，並重複用於所有根參數值，因此一個根參數值的回應可以提供針對不同值產生的內容，無論頁面是在建置時或運行時間預先轉譯，還是動態轉譯。共用快取標頭可讓下游快取進一步重新散發內容。洩漏的值無法由攻擊者控制。提供哪個值的內容僅取決於哪個叫用先寫入項目。16.3.8 版對此問題作了修補。(CVE-2026-103004)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Next.js 16.3.016.3.7 版本到使用“next/root-params”来温暖“使用缓存”处理程序，并可将其返回值泄漏给具有不同根参数的页面。启用缓存组件后（cacheComponents：
    true），当从现有条目提供内部调用时，调用另一个读取根参数的“use cache”函数可能被错误地键入：然后，包含函数的缓存键会忽略该根参数。包含的条目写入一次，并针对所有根参数值重复使用，因此，无论页面是在构建时或运行时预渲染，还是动态呈现，一个根参数值的响应都可以提供为不同值生成的内容。共享缓存标头允许下游缓存进一步重新分发内容。泄漏的值是攻击者无法控制的。提供哪个值的内容仅取决于哪个调用首先编写了条目。此问题已在 16.3.8 进行了修补。(CVE-2026-103004)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 16.3.0 から 16.3.7 へNext.jsバージョンは、「next/root-params」を使用するウォーム「use cache」ハンドラーであり、異なる root パラメーターを持つページへ戻り値を漏洩する可能性があります。キャッシュ コンポーネントを有効にした場合 (cacheComponents:
    true)、root パラメーターを読み取る別の「use cache」関数を呼び出す「use cache」関数は、内部呼び出しが既存のエントリから提供される場合に誤ってキーが設定される可能性があります。それから外側の関数のキャッシュキーがその root パラメーターを省略します。囲むエントリは一度書き込まれ、すべてのルートパラメーター値に再利用されるため、1つのルートパラメーター値に対する応答は、ページがビルド時または実行時にプリレンダリングされるか、動的にレンダリングされるかにかかわらず、異なる値に対して生成されたコンテンツを提供することができます。共有キャッシュヘッダーにより、ダウンストリームのキャッシュはコンテンツをさらに再配布できます。どの値が漏洩するかは、攻撃者が制御することはできません。どの値のコンテンツが提供されるかは、どの呼び出しが最初にエントリを書き込んだかによってのみ異なります。これは16.3.8でパッチされています。（CVE-2026-103004）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Next.js versions from 16.3.0 to 16.3.7 warm `use cache` handlers using `next/root-params` and can leak     their return value to pages with different root params. With Cache Components enabled (cacheComponents:
    true), a 'use cache' function that calls another 'use cache' function that reads a root param can be keyed     incorrectly when the inner call is served from an existing entry: the enclosing function's cache key then     omits that root param. The enclosing entry is written once and reused for all root param values, so a     response for one root param value can serve content produced for a different value  whether the page is     prerendered at build time or at runtime, or rendered dynamically. Shared cache headers let downstream     caches redistribute the content further. What values are leaked cannot be attacker controlled. Which     value's content is served depends only on which invocation wrote the entry first. This has been patched in     16.3.8. (CVE-2026-103004)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
115751	Next.js 15.x < 15.5.27 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	high
115752	Next.js 16.0.x < 16.3.8 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	high
476832	SCA: security update for next (GHSA-h694-7cp9-m8p3)	Tenable Cloud Security	SCA Checks	10/22/2026	10/22/2026	medium
476832	SCA: security update for next (GHSA-h694-7cp9-m8p3)	Tenable Self-Hosted Container Security	SCA Checks	10/22/2026	10/22/2026	medium
362435	Linux Distros 未修補弱點：CVE-2026-103004	Nessus	Misc.	10/1/2026	11/6/2026	medium
362435	Linux Distros 未修补的漏洞：CVE-2026-103004	Nessus	Misc.	10/1/2026	11/6/2026	medium
362435	Linux Distros のパッチ未適用の脆弱性: CVE-2026-103004	Nessus	Misc.	10/1/2026	11/6/2026	medium
362435	Linux Distros Unpatched Vulnerability : CVE-2026-103004	Nessus	Misc.	10/1/2026	11/6/2026	medium

Detections

Analytics

Plugins Search

high

high

medium

medium

medium

medium

medium

medium