The version of Next.js installed on the remote host is 9.5.0 prior to 15.5.14 or 16.0.0 prior to 16.1.7. It is, therefore, affected by multiple vulnerabilities:

- An HTTP request smuggling vulnerability in rewrites. This issue is fixed in versions 15.5.13 and 16.1.7. (CVE-2026-29057)

- A denial of service vulnerability due to unbounded next/image disk cache growth, which can exhaust storage. This issue only affects versions 10.0.0 and later. (CVE-2026-27980)

- A Cross-Site Request Forgery vulnerability where a null origin can bypass Server Actions CSRF checks. This issue only affects versions 16.0.1 and later. (CVE-2026-27978)

- An origin validation bypass where a null origin can bypass allowedDevOrigins protections for internal development endpoints. This issue only affects versions 16.0.1 and later. (CVE-2026-27977)

- A denial of service vulnerability due to unbounded postponed resume buffering. This issue only affects versions 16.1.0 and later. (CVE-2026-27979)

Note that the scanner has not attempted to exploit these issues but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and
    prior to version 16.1.7, in `next dev`, cross-site protection for internal websocket endpoints could treat
    `Origin: null` as a bypass case even if `allowedDevOrigins` is configured, allowing privacy-
    sensitive/opaque contexts (for example sandboxed documents) to connect unexpectedly. If a dev server is
    reachable from attacker-controlled content, an attacker may be able to connect to the HMR websocket
    channel and interact with dev websocket traffic. This affects development mode only. Apps without a
    configured `allowedDevOrigins` still allow connections from any origin. The issue is fixed in version
    16.1.7 by validating `Origin: null` through the same cross-site origin-allowance checks used for other
    origins. If upgrading is not immediately possible, do not expose `next dev` to untrusted networks and/or
    block websocket upgrades to `/_next/webpack-hmr` when `Origin` is `null` at the proxy. (CVE-2026-27977)

遠端主機上的 Next.js Framework 受到多個弱點影響

  - Next.js 開發伺服器中存在一個弱點其中 null 來源可繞過 HMR (熱模組更換) websocket 端點上的跨網站保護。若攻擊者可存取可從 dev 伺服器連線的受攻擊者控制內容則可能連線至 HMR websocket 通道並攔截 dev 流量即使已具備 allowedDevOrigins 組態亦然。此弱點只會影響開發模式。 (CVE-2026-27977)

  - Next.js 中存在一個弱點其中具有 null 來源的要求可繞過伺服器動作中的 CSRF 驗證。來自不透明內容 (例如沙箱 iframe) 的要求可繞過來源驗證而不會被驗證為跨來源要求。攻擊者可操控受害者的瀏覽器使用受害者認證從沙箱化內容執行狀態變更伺服器動作。 (CVE-2026-27978)

  - 在已啟用部分預先呈現的 Next.js 應用程式中存在一個拒絕服務弱點。在非最小部署中處理 next-resume 標頭要求時系統無法一致地強制執行 maxPostponedStateSize 限制進而允許攻擊者傳送含有 next-resume 標頭的過大 POST 承載以觸發無限制的記憶體緩衝並造成過度記憶體消耗可能導致服務中斷。 (CVE-2026-27979)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Next.js 是用於建置完整堆疊 Web 應用程式的 React 架構。從 16.0.1 版及 16.1.7版之前的版本開始在「next dev」中內部 websocket 端點的跨網站保護可將 `Origin: null` 視為繞過案例即使已設定 `allowedDevOrigins` 也是如此允許隱私敏感/ opaque 內容 (例如沙箱化文件) 意外連線。如果可從攻擊者控制的內容連線至 dev 伺服器則攻擊者可能能夠連線至 HMR websocket 通道並與 dev websocket 流量互動。這只會影響開發模式。未設定 `allowedDevOrigins` 的應用程式仍允許來自任何來源的連線。此問題已在版本 16.1.7 中透過用於其他來源的相同跨網站來源允許檢查驗證 `Origin: null` 來修正。如果無法立即升級不要將 `next dev` 暴露到未受信任的網路及/或當 Proxy 的 `Origin` 為 `null` 時封鎖 websocket 升級至 `/_next/webpack-hmr`。 (CVE-2026-27977)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机上的 Next.js 框架受到多种漏洞影响

  - Next.js 开发服务器中存在一个漏洞其中 null 来源可绕过 HMR模块热替换websocket 端点上的跨站保护。如果攻击者能够访问可从 dev 服务器访问的、由攻击者控制的内容，则攻击者可能会连接到 HMR websocket 通道并拦截 dev 流量，即使已设置 allowedDevOrigins 配置也是如此。此漏洞仅影响开发模式。 (CVE-2026-27977)

  - Next.js 中存在一个漏洞其中具有 null 来源的请求可绕过 Server Actions 中的 CSRF 验证。来自不透明上下文例如沙盒 iframe 的请求可绕过源验证而不会被验证为跨源请求。攻击者可操纵受害者的浏览器使用受害者凭据从沙盒上下文中执行变更状态的服务器操作。 (CVE-2026-27978)

  - 启用了部分预渲染的 Next.js 应用程序中存在一个拒绝服务漏洞。在非最小部署中处理 next-resume 标头请求时系统无法一致强制执行 maxPostponedStateSize 限制从而允许攻击者发送带有 next-resume 标头的超大 POST 负载以触发无限内存缓冲并造成内存过多消耗可能导致服务中断。 (CVE-2026-27979)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Next.js 是用于构建全堆栈 Web 应用程序的React 框架。从 16.0.1 版本开始到低于 16.1.7版本的在“next dev”中内部 websocket 端点的跨站保护可能会将“Origin: null”视为绕过情况即使已配置“allowedDevOrigins”从而允许隐私敏感/不透明的上下文例如沙盒文档会造成意外连接。如果可从攻击者控制的内容访问 dev 服务器攻击者可能能够连接至 HMR websocket 通道并与 dev websocket 流量交互。这只影响开发模式。未配置“allowedDevOrigins”的应用仍允许来自任何源的连接。此问题在 16.1.7 版中已修复方法是通过用于其他源的相同跨站来源允许检查来验证“源: null”。如果无法立即升级则代理上的“Origin”为“null”时不将“next dev”暴露给不信任的网络和/或阻止 websocket 升级到“/_next/webpack-hmr”。 (CVE-2026-27977)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストのNext.js Frameworkは、複数の脆弱性の影響を受けます

  - Next.js 開発サーバーに脆弱性が存在します。NULL 生成元が HMRHot Module ReplacementWebsocket エンドポイントのクロスサイト保護をバイパスする可能性があります。dev サーバーから到達可能な攻撃者が制御するコンテンツへのアクセス権を持つ攻撃者が、allowdDevOrigins 構成が行われている場合でも、HMR websocket チャネルに接続して dev トラフィックを傍受する可能性があります。この脆弱性は、開発モードにのみ影響します。CVE-2026-27977

  - Next.js に脆弱性が存在します。ここでは、null オリジンのリクエストが、Server Actions の CSRF 検証をバイパスする可能性があります。サンドボックス化された iframe などの opaque コンテキストからのリクエストが、クロスオリジンリクエストとして検証されるのではなく、生成元検証をバイパスする可能性があります。攻撃者が被害者のブラウザを操作し、被害者の認証情報を使用してサンドボックス化されたコンテキストから状態変更サーバーアクションを実行する可能性があります。CVE-2026-27978

  - Partial Prerendering が有効になっている Next.js アプリケーションに、サービス拒否の脆弱性が存在します。システムが最小でないデプロイメントで次の再開のヘッダーリクエストを処理する際に、maxPostponedStateSize の制限を一貫して実施することに失敗します。これにより、攻撃者が次の再開のヘッダー付きで過剰なサイズの POST ペイロードを送信し、際限のないメモリバッファリングを発生させ、過剰なメモリ消費を引き起こし、サービスの中断を引き起こす可能性があります。 。CVE-2026-27979

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタック Web アプリケーションを構築するための React フレームワークです。バージョン 16.0.1 で起動され、バージョン 16.1.7より前の では、「next dev」で、内部の websocket エンドポイントに対するクロスサイト保護が「Origin: null」をバイパスケースとして処理する可能性があります。これは「allowedDevOrigins」が構成されていても、privacy-sensider/ が構成されている場合でも同じことが言えます。 opaque コンテキストサンドボックス化されたドキュメントなどが予期せず接続されるようになります。攻撃者が制御するコンテンツから dev サーバーが到達可能な場合、攻撃者が HMR websocket チャネルに接続し、dev websocket トラフィックと相互作用できる可能性があります。これは開発モードにのみ影響します。構成された「allowedDevOrigins」のないアプリは、依然として、あらゆる生成元からの接続を許可します。この問題は、他のオリジンに使用される同じクロスサイトオリジン許容チェックを通じて「Origin: null」を検証することにより、バージョン 16.1.7 で修正されます。アップグレードがすぐに不可能な場合は、プロキシで「Origin」が「null」の場合、信頼できないネットワークに「next dev」をさらしたり、「/_next/webpack-hmr」への websocket アップグレードをブロックしたりしないでください。CVE-2026-27977

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Next.js Framework on the remote host is affected by multiple vulnerabilities:

  - A vulnerability exists in the Next.js development server where a null origin can bypass cross-site     protections on the HMR (Hot Module Replacement) websocket endpoint. An attacker with access to     attacker-controlled content reachable from the dev server could potentially connect to the HMR websocket     channel and intercept dev traffic, even when allowedDevOrigins configuration is in place. This     vulnerability only affects development mode. (CVE-2026-27977)

  - A vulnerability exists in Next.js where requests with a null origin can bypass CSRF validation in Server     Actions. Requests from opaque contexts such as sandboxed iframes could bypass origin verification instead     of being validated as cross-origin requests. An attacker could manipulate a victim's browser into executing     state-changing Server Actions from a sandboxed context using victim credentials. (CVE-2026-27978)

  - A denial of service vulnerability exists in Next.js applications with Partial Prerendering enabled. The     system fails to consistently enforce maxPostponedStateSize limits when processing next-resume header     requests in non-minimal deployments, allowing an attacker to send oversized POST payloads with the     next-resume header to trigger unbounded memory buffering and cause excessive memory consumption     potentially leading to service disruption. (CVE-2026-27979)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and     prior to version 16.1.7, in `next dev`, cross-site protection for internal websocket endpoints could treat     `Origin: null` as a bypass case even if `allowedDevOrigins` is configured, allowing privacy-     sensitive/opaque contexts (for example sandboxed documents) to connect unexpectedly. If a dev server is     reachable from attacker-controlled content, an attacker may be able to connect to the HMR websocket     channel and interact with dev websocket traffic. This affects development mode only. Apps without a     configured `allowedDevOrigins` still allow connections from any origin. The issue is fixed in version     16.1.7 by validating `Origin: null` through the same cross-site origin-allowance checks used for other     origins. If upgrading is not immediately possible, do not expose `next dev` to untrusted networks and/or     block websocket upgrades to `/_next/webpack-hmr` when `Origin` is `null` at the proxy. (CVE-2026-27977)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
115760	Next.js 9.5.0 < 15.5.14 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	medium
115761	Next.js 16.0.x < 16.1.7 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	medium
438900	SCA: security update for next (GHSA-jcc7-9wpm-mj36)	Tenable Cloud Security	SCA Checks	3/17/2026	7/2/2026	low
438900	SCA: security update for next (GHSA-jcc7-9wpm-mj36)	Tenable Self-Hosted Container Security	SCA Checks	3/17/2026	7/2/2026	low
303199	Next.js Framework 16.0.1 < 16.1.7 多個弱點	Nessus	Misc.	3/20/2026	7/23/2026	medium
302939	Linux Distros 未修補的弱點：CVE-2026-27977	Nessus	Misc.	3/18/2026	11/6/2026	low
303199	Next.js 框架 16.0.1 < 16.1.7 多种漏洞	Nessus	Misc.	3/20/2026	7/23/2026	medium
302939	Linux Distros 未修补的漏洞：CVE-2026-27977	Nessus	Misc.	3/18/2026	11/6/2026	low
303199	Next.js Framework 16.0.1 < 16.1.7 の複数の脆弱性	Nessus	Misc.	3/20/2026	7/23/2026	medium
302939	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27977	Nessus	Misc.	3/18/2026	11/6/2026	low
303199	Next.js Framework 16.0.1 < 16.1.7 Multiple Vulnerabilities	Nessus	Misc.	3/20/2026	7/23/2026	medium
302939	Linux Distros Unpatched Vulnerability : CVE-2026-27977	Nessus	Misc.	3/18/2026	11/6/2026	low

Detections

Analytics

Plugins Search

medium

medium

low

low

medium

low

medium

low

medium

low

medium

low