The version of Next.js installed on the remote host is 9.5.0 prior to 15.5.14 or 16.0.0 prior to 16.1.7. It is, therefore, affected by multiple vulnerabilities:

- An HTTP request smuggling vulnerability in rewrites. This issue is fixed in versions 15.5.13 and 16.1.7. (CVE-2026-29057)

- A denial of service vulnerability due to unbounded next/image disk cache growth, which can exhaust storage. This issue only affects versions 10.0.0 and later. (CVE-2026-27980)

- A Cross-Site Request Forgery vulnerability where a null origin can bypass Server Actions CSRF checks. This issue only affects versions 16.0.1 and later. (CVE-2026-27978)

- An origin validation bypass where a null origin can bypass allowedDevOrigins protections for internal development endpoints. This issue only affects versions 16.0.1 and later. (CVE-2026-27977)

- A denial of service vulnerability due to unbounded postponed resume buffering. This issue only affects versions 16.1.0 and later. (CVE-2026-27979)

Note that the scanner has not attempted to exploit these issues but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and
    prior to version 16.1.7, `origin: null` was treated as a "missing" origin during Server Action CSRF
    validation. As a result, requests from opaque contexts (such as sandboxed iframes) could bypass origin
    verification instead of being validated as cross-origin requests. An attacker could induce a victim
    browser to submit Server Actions from a sandboxed context, potentially executing state-changing actions
    with victim credentials (CSRF). This is fixed in version 16.1.7 by treating `'null'` as an explicit origin
    value and enforcing host/origin checks unless `'null'` is explicitly allowlisted in
    `experimental.serverActions.allowedOrigins`. If upgrading is not immediately possible, add CSRF tokens for
    sensitive Server Actions, prefer `SameSite=Strict` on sensitive auth cookies, and/or do not allow `'null'`
    in `serverActions.allowedOrigins` unless intentionally required and additionally protected.
    (CVE-2026-27978)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Next.js 是用於建置完整堆疊 Web 應用程式的 React 架構。從 16.0.1 版開始及 16.1.7版之前的版本中「origin: null」在伺服器動作 CSRF 驗證期間被視為缺少來源。因此來自不透明內容 (例如沙箱 iframe) 的要求可繞過來源驗證而不會被驗證為跨來源要求。攻擊者可誘使受害者瀏覽器從沙箱內容提交伺服器動作進而可能使用受害者憑證 (CSRF) 執行狀態變更動作。此問題已在版本 16.1.7 中修正方法是將 'null'` 視為明確的來源值並強制執行主機/來源檢查除非 `'experimental.serverActions.allowedOrigins` 中明確將 ''null''列入允許清單。如果無法立即升級請針對敏感的伺服器動作新增 CSRF token、在敏感的驗證 Cookie 上偏好「SameSite=Strict」和/或除非刻意要求且受到額外保護否則不允許「serverActions.allowedOrigins」中出現「null」。
    (CVE-2026-27978)

請注意，Nessus 依賴供應商報告的套件存在。

远程主机上的 Next.js 框架受到多种漏洞影响

  - Next.js 开发服务器中存在一个漏洞其中 null 来源可绕过 HMR模块热替换websocket 端点上的跨站保护。如果攻击者能够访问可从 dev 服务器访问的、由攻击者控制的内容，则攻击者可能会连接到 HMR websocket 通道并拦截 dev 流量，即使已设置 allowedDevOrigins 配置也是如此。此漏洞仅影响开发模式。 (CVE-2026-27977)

  - Next.js 中存在一个漏洞其中具有 null 来源的请求可绕过 Server Actions 中的 CSRF 验证。来自不透明上下文例如沙盒 iframe 的请求可绕过源验证而不会被验证为跨源请求。攻击者可操纵受害者的浏览器使用受害者凭据从沙盒上下文中执行变更状态的服务器操作。 (CVE-2026-27978)

  - 启用了部分预渲染的 Next.js 应用程序中存在一个拒绝服务漏洞。在非最小部署中处理 next-resume 标头请求时系统无法一致强制执行 maxPostponedStateSize 限制从而允许攻击者发送带有 next-resume 标头的超大 POST 负载以触发无限内存缓冲并造成内存过多消耗可能导致服务中断。 (CVE-2026-27979)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上的 Next.js Framework 受到多個弱點影響

  - Next.js 開發伺服器中存在一個弱點其中 null 來源可繞過 HMR (熱模組更換) websocket 端點上的跨網站保護。若攻擊者可存取可從 dev 伺服器連線的受攻擊者控制內容則可能連線至 HMR websocket 通道並攔截 dev 流量即使已具備 allowedDevOrigins 組態亦然。此弱點只會影響開發模式。 (CVE-2026-27977)

  - Next.js 中存在一個弱點其中具有 null 來源的要求可繞過伺服器動作中的 CSRF 驗證。來自不透明內容 (例如沙箱 iframe) 的要求可繞過來源驗證而不會被驗證為跨來源要求。攻擊者可操控受害者的瀏覽器使用受害者認證從沙箱化內容執行狀態變更伺服器動作。 (CVE-2026-27978)

  - 在已啟用部分預先呈現的 Next.js 應用程式中存在一個拒絕服務弱點。在非最小部署中處理 next-resume 標頭要求時系統無法一致地強制執行 maxPostponedStateSize 限制進而允許攻擊者傳送含有 next-resume 標頭的過大 POST 承載以觸發無限制的記憶體緩衝並造成過度記憶體消耗可能導致服務中斷。 (CVE-2026-27979)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタック Web アプリケーションを構築するための React フレームワークです。バージョン 16.0.1 からバージョン 16.1.7より前の 、「origin: null」が、Server Action CSRF の検証中に欠落したオリジンとして扱われていました。結果として、不透明なコンテキストサンドボックス化された iframe などからのリクエストは、クロスオリジンリクエストとして検証されるのではなく、オリジン検証をバイパスする可能性があります。攻撃者が、被害者のブラウザにサンドボックス化されたコンテキストからサーバーアクションを送信させることで、被害者の認証情報CSRFを使用して状態変更アクションを実行する可能性があります。これは、「null」を明示的なオリジン値として扱い、「null」が「experimental.serverActions.allowedOrigins 16.1.7 」で明示的に許可リストに載っていない限り、「null」を明示的なオリジン値として扱い、ホスト/オリジンチェックを実行することにより、バージョン [] で修正されています。アップグレードがすぐに実行できない場合は、機密の Server Actions 用の CSRF トークンを追加し、機密の auth クッキーで「SameSite=Strict」を優先する、あるいは 意図的に必要で追加的に保護されない限り、「serverActions.allowedOrigins」の「null」を許可しないでください。
    (CVE-2026-27978)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Next.js 是用于构建全堆栈 Web 应用程序的React 框架。自版本 16.0.1 到低于 16.1.7的版本中“origin: null”在 Server Action CSRF 验证期间被视为缺少源。因此来自不透明上下文的请求如沙盒 iframe可以绕过源验证而不是被验证为跨源请求。攻击者可诱使受害者浏览器提交来自沙盒环境的服务器操作从而可能使用受害者凭据 (CSRF) 执行改变状态的操作。此问题已在 16.1.7 中修复通过将“null”视为明确源值并强制执行主机/源检查除非“null”在“experimental.serverActions.allowedOrigins”中明确列入允许列表。如果不能立即升级请为敏感服务器操作添加 CSRF 标记、在敏感认证 Cookie 上首选“SameSite=Strict”和/或不允许“serverActions.allowedOrigins”中的“null”或特意要求并受到额外保护。
    (CVE-2026-27978)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストのNext.js Frameworkは、複数の脆弱性の影響を受けます

  - Next.js 開発サーバーに脆弱性が存在します。NULL 生成元が HMRHot Module ReplacementWebsocket エンドポイントのクロスサイト保護をバイパスする可能性があります。dev サーバーから到達可能な攻撃者が制御するコンテンツへのアクセス権を持つ攻撃者が、allowdDevOrigins 構成が行われている場合でも、HMR websocket チャネルに接続して dev トラフィックを傍受する可能性があります。この脆弱性は、開発モードにのみ影響します。CVE-2026-27977

  - Next.js に脆弱性が存在します。ここでは、null オリジンのリクエストが、Server Actions の CSRF 検証をバイパスする可能性があります。サンドボックス化された iframe などの opaque コンテキストからのリクエストが、クロスオリジンリクエストとして検証されるのではなく、生成元検証をバイパスする可能性があります。攻撃者が被害者のブラウザを操作し、被害者の認証情報を使用してサンドボックス化されたコンテキストから状態変更サーバーアクションを実行する可能性があります。CVE-2026-27978

  - Partial Prerendering が有効になっている Next.js アプリケーションに、サービス拒否の脆弱性が存在します。システムが最小でないデプロイメントで次の再開のヘッダーリクエストを処理する際に、maxPostponedStateSize の制限を一貫して実施することに失敗します。これにより、攻撃者が次の再開のヘッダー付きで過剰なサイズの POST ペイロードを送信し、際限のないメモリバッファリングを発生させ、過剰なメモリ消費を引き起こし、サービスの中断を引き起こす可能性があります。 。CVE-2026-27979

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Next.js Framework on the remote host is affected by multiple vulnerabilities:

  - A vulnerability exists in the Next.js development server where a null origin can bypass cross-site     protections on the HMR (Hot Module Replacement) websocket endpoint. An attacker with access to     attacker-controlled content reachable from the dev server could potentially connect to the HMR websocket     channel and intercept dev traffic, even when allowedDevOrigins configuration is in place. This     vulnerability only affects development mode. (CVE-2026-27977)

  - A vulnerability exists in Next.js where requests with a null origin can bypass CSRF validation in Server     Actions. Requests from opaque contexts such as sandboxed iframes could bypass origin verification instead     of being validated as cross-origin requests. An attacker could manipulate a victim's browser into executing     state-changing Server Actions from a sandboxed context using victim credentials. (CVE-2026-27978)

  - A denial of service vulnerability exists in Next.js applications with Partial Prerendering enabled. The     system fails to consistently enforce maxPostponedStateSize limits when processing next-resume header     requests in non-minimal deployments, allowing an attacker to send oversized POST payloads with the     next-resume header to trigger unbounded memory buffering and cause excessive memory consumption     potentially leading to service disruption. (CVE-2026-27979)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and     prior to version 16.1.7, `origin: null` was treated as a missing origin during Server Action CSRF     validation. As a result, requests from opaque contexts (such as sandboxed iframes) could bypass origin     verification instead of being validated as cross-origin requests. An attacker could induce a victim     browser to submit Server Actions from a sandboxed context, potentially executing state-changing actions     with victim credentials (CSRF). This is fixed in version 16.1.7 by treating `'null'` as an explicit origin     value and enforcing host/origin checks unless `'null'` is explicitly allowlisted in     `experimental.serverActions.allowedOrigins`. If upgrading is not immediately possible, add CSRF tokens for     sensitive Server Actions, prefer `SameSite=Strict` on sensitive auth cookies, and/or do not allow `'null'`     in `serverActions.allowedOrigins` unless intentionally required and additionally protected.
    (CVE-2026-27978)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
115760	Next.js 9.5.0 < 15.5.14 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	medium
115761	Next.js 16.0.x < 16.1.7 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	medium
438899	SCA: security update for next (GHSA-mq59-m269-xvcx)	Tenable Self-Hosted Container Security	SCA Checks	3/17/2026	7/2/2026	medium
438899	SCA: security update for next (GHSA-mq59-m269-xvcx)	Tenable Cloud Security	SCA Checks	3/17/2026	7/2/2026	medium
302959	Linux Distros 未修補的弱點：CVE-2026-27978	Nessus	Misc.	3/18/2026	11/6/2026	medium
303199	Next.js 框架 16.0.1 < 16.1.7 多种漏洞	Nessus	Misc.	3/20/2026	7/23/2026	medium
303199	Next.js Framework 16.0.1 < 16.1.7 多個弱點	Nessus	Misc.	3/20/2026	7/23/2026	medium
302959	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27978	Nessus	Misc.	3/18/2026	11/6/2026	medium
302959	Linux Distros 未修补的漏洞：CVE-2026-27978	Nessus	Misc.	3/18/2026	11/6/2026	medium
303199	Next.js Framework 16.0.1 < 16.1.7 の複数の脆弱性	Nessus	Misc.	3/20/2026	7/23/2026	medium
303199	Next.js Framework 16.0.1 < 16.1.7 Multiple Vulnerabilities	Nessus	Misc.	3/20/2026	7/23/2026	medium
302959	Linux Distros Unpatched Vulnerability : CVE-2026-27978	Nessus	Misc.	3/18/2026	11/6/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium