The version of Next.js installed on the remote host is 9.5.0 prior to 15.5.14 or 16.0.0 prior to 16.1.7. It is, therefore, affected by multiple vulnerabilities:

- An HTTP request smuggling vulnerability in rewrites. This issue is fixed in versions 15.5.13 and 16.1.7. (CVE-2026-29057)

- A denial of service vulnerability due to unbounded next/image disk cache growth, which can exhaust storage. This issue only affects versions 10.0.0 and later. (CVE-2026-27980)

- A Cross-Site Request Forgery vulnerability where a null origin can bypass Server Actions CSRF checks. This issue only affects versions 16.0.1 and later. (CVE-2026-27978)

- An origin validation bypass where a null origin can bypass allowedDevOrigins protections for internal development endpoints. This issue only affects versions 16.0.1 and later. (CVE-2026-27977)

- A denial of service vulnerability due to unbounded postponed resume buffering. This issue only affects versions 16.1.0 and later. (CVE-2026-27979)

Note that the scanner has not attempted to exploit these issues but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Next.js is a React framework for building full-stack web applications. Starting in version 16.0.1 and
    prior to version 16.1.7, a request containing the `next-resume: 1` header (corresponding with a PPR resume
    request) would buffer request bodies without consistently enforcing `maxPostponedStateSize` in certain
    setups. The previous mitigation protected minimal-mode deployments, but equivalent non-minimal deployments
    remained vulnerable to the same unbounded postponed resume-body buffering behavior. In applications using
    the App Router with Partial Prerendering capability enabled (via `experimental.ppr` or `cacheComponents`),
    an attacker could send oversized `next-resume` POST payloads that were buffered without consistent size
    enforcement in non-minimal deployments, causing excessive memory usage and potential denial of service.
    This is fixed in version 16.1.7 by enforcing size limits across all postponed-body buffering paths and
    erroring when limits are exceeded. If upgrading is not immediately possible, block requests containing the
    `next-resume` header, as this is never valid to be sent from an untrusted client. (CVE-2026-27979)

遠端主機上的 Next.js Framework 受到多個弱點影響

  - Next.js 開發伺服器中存在一個弱點其中 null 來源可繞過 HMR (熱模組更換) websocket 端點上的跨網站保護。若攻擊者可存取可從 dev 伺服器連線的受攻擊者控制內容則可能連線至 HMR websocket 通道並攔截 dev 流量即使已具備 allowedDevOrigins 組態亦然。此弱點只會影響開發模式。 (CVE-2026-27977)

  - Next.js 中存在一個弱點其中具有 null 來源的要求可繞過伺服器動作中的 CSRF 驗證。來自不透明內容 (例如沙箱 iframe) 的要求可繞過來源驗證而不會被驗證為跨來源要求。攻擊者可操控受害者的瀏覽器使用受害者認證從沙箱化內容執行狀態變更伺服器動作。 (CVE-2026-27978)

  - 在已啟用部分預先呈現的 Next.js 應用程式中存在一個拒絕服務弱點。在非最小部署中處理 next-resume 標頭要求時系統無法一致地強制執行 maxPostponedStateSize 限制進而允許攻擊者傳送含有 next-resume 標頭的過大 POST 承載以觸發無限制的記憶體緩衝並造成過度記憶體消耗可能導致服務中斷。 (CVE-2026-27979)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上的 Next.js 框架受到多种漏洞影响

  - Next.js 开发服务器中存在一个漏洞其中 null 来源可绕过 HMR模块热替换websocket 端点上的跨站保护。如果攻击者能够访问可从 dev 服务器访问的、由攻击者控制的内容，则攻击者可能会连接到 HMR websocket 通道并拦截 dev 流量，即使已设置 allowedDevOrigins 配置也是如此。此漏洞仅影响开发模式。 (CVE-2026-27977)

  - Next.js 中存在一个漏洞其中具有 null 来源的请求可绕过 Server Actions 中的 CSRF 验证。来自不透明上下文例如沙盒 iframe 的请求可绕过源验证而不会被验证为跨源请求。攻击者可操纵受害者的浏览器使用受害者凭据从沙盒上下文中执行变更状态的服务器操作。 (CVE-2026-27978)

  - 启用了部分预渲染的 Next.js 应用程序中存在一个拒绝服务漏洞。在非最小部署中处理 next-resume 标头请求时系统无法一致强制执行 maxPostponedStateSize 限制从而允许攻击者发送带有 next-resume 标头的超大 POST 负载以触发无限内存缓冲并造成内存过多消耗可能导致服务中断。 (CVE-2026-27979)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストのNext.js Frameworkは、複数の脆弱性の影響を受けます

  - Next.js 開発サーバーに脆弱性が存在します。NULL 生成元が HMRHot Module ReplacementWebsocket エンドポイントのクロスサイト保護をバイパスする可能性があります。dev サーバーから到達可能な攻撃者が制御するコンテンツへのアクセス権を持つ攻撃者が、allowdDevOrigins 構成が行われている場合でも、HMR websocket チャネルに接続して dev トラフィックを傍受する可能性があります。この脆弱性は、開発モードにのみ影響します。CVE-2026-27977

  - Next.js に脆弱性が存在します。ここでは、null オリジンのリクエストが、Server Actions の CSRF 検証をバイパスする可能性があります。サンドボックス化された iframe などの opaque コンテキストからのリクエストが、クロスオリジンリクエストとして検証されるのではなく、生成元検証をバイパスする可能性があります。攻撃者が被害者のブラウザを操作し、被害者の認証情報を使用してサンドボックス化されたコンテキストから状態変更サーバーアクションを実行する可能性があります。CVE-2026-27978

  - Partial Prerendering が有効になっている Next.js アプリケーションに、サービス拒否の脆弱性が存在します。システムが最小でないデプロイメントで次の再開のヘッダーリクエストを処理する際に、maxPostponedStateSize の制限を一貫して実施することに失敗します。これにより、攻撃者が次の再開のヘッダー付きで過剰なサイズの POST ペイロードを送信し、際限のないメモリバッファリングを発生させ、過剰なメモリ消費を引き起こし、サービスの中断を引き起こす可能性があります。 。CVE-2026-27979

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Next.js Framework on the remote host is affected by multiple vulnerabilities:

  - A vulnerability exists in the Next.js development server where a null origin can bypass cross-site     protections on the HMR (Hot Module Replacement) websocket endpoint. An attacker with access to     attacker-controlled content reachable from the dev server could potentially connect to the HMR websocket     channel and intercept dev traffic, even when allowedDevOrigins configuration is in place. This     vulnerability only affects development mode. (CVE-2026-27977)

  - A vulnerability exists in Next.js where requests with a null origin can bypass CSRF validation in Server     Actions. Requests from opaque contexts such as sandboxed iframes could bypass origin verification instead     of being validated as cross-origin requests. An attacker could manipulate a victim's browser into executing     state-changing Server Actions from a sandboxed context using victim credentials. (CVE-2026-27978)

  - A denial of service vulnerability exists in Next.js applications with Partial Prerendering enabled. The     system fails to consistently enforce maxPostponedStateSize limits when processing next-resume header     requests in non-minimal deployments, allowing an attacker to send oversized POST payloads with the     next-resume header to trigger unbounded memory buffering and cause excessive memory consumption     potentially leading to service disruption. (CVE-2026-27979)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
115760	Next.js 9.5.0 < 15.5.14 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	medium
115761	Next.js 16.0.x < 16.1.7 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	medium
438898	SCA: security update for next (GHSA-h27x-g6w4-24gq)	Tenable Cloud Security	SCA Checks	3/17/2026	7/20/2026	medium
438898	SCA: security update for next (GHSA-h27x-g6w4-24gq)	Tenable Self-Hosted Container Security	SCA Checks	3/17/2026	7/20/2026	medium
303199	Next.js Framework 16.0.1 < 16.1.7 多個弱點	Nessus	Misc.	3/20/2026	7/23/2026	medium
303199	Next.js 框架 16.0.1 < 16.1.7 多种漏洞	Nessus	Misc.	3/20/2026	7/23/2026	medium
303199	Next.js Framework 16.0.1 < 16.1.7 の複数の脆弱性	Nessus	Misc.	3/20/2026	7/23/2026	medium
303199	Next.js Framework 16.0.1 < 16.1.7 Multiple Vulnerabilities	Nessus	Misc.	3/20/2026	7/23/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium