CVE-2026-44574 是 Next.js 中的授权绕过漏洞。攻击者可以通过操纵动态路由的值，绕过中间件的身份验证检查，从而访问未经授权的内容。此漏洞影响 Next.js 15.4.0–>= 16.0.0 以及小于 16.2.5 的版本。已发布修复程序，建议尽快升级。
影响与攻击场景
此漏洞允许攻击者绕过 Next.js 中用于保护动态路由的中间件。攻击者可以通过在查询参数中注入恶意数据，修改 Next.js 应用程序在路由处理过程中看到的动态路由值。即使 URL 路径看起来是正常的，攻击者仍然可以访问原本需要经过身份验证才能访问的页面或资源。例如，一个需要管理员权限才能访问的后台管理页面，攻击者可能通过修改查询参数，直接访问该页面而无需登录。这种攻击的潜在影响包括数据泄露、未经授权的修改以及对应用程序的完全控制。
利用背景
目前尚未公开发现大规模利用此漏洞的活动。该漏洞已发布到 NVD，CISA 也已发布相关安全公告。由于该漏洞允许绕过身份验证，因此存在被恶意利用的风险。建议密切关注安全社区的动态，并及时采取必要的安全措施。
威胁情报
漏洞利用状态
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 无 — 无可用性影响。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
缓解措施和替代方案
官方修复程序已发布，建议立即升级到 Next.js 15.5.16 或更高版本。如果无法立即升级，可以尝试以下临时缓解措施：严格验证所有来自客户端的路由参数，确保其符合预期的格式和值。实施额外的身份验证层，例如在中间件中添加额外的检查，以验证用户是否具有访问特定路由的权限。考虑使用更严格的路由解析策略，以防止恶意参数篡改。升级后，请仔细检查应用程序的路由配置，确保所有受保护的路由都已正确配置。
修复方法翻译中…
Actualice Next.js a la versión 15.5.16 o superior, o a la versión 16.2.5 o superior. Esta actualización corrige una vulnerabilidad de bypass de autorización en middleware que permite el acceso a contenido protegido sin la validación esperada.
常见问题
什么是 CVE-2026-44574 — 授权绕过漏洞在 Next.js 中？
CVE-2026-44574 是 Next.js 中发现的授权绕过漏洞，允许攻击者通过操纵路由参数绕过中间件的身份验证检查，从而访问受保护的内容。影响 Next.js 15.4.0–>= 16.0.0 以及小于 16.2.5 的版本。
我是否受到 CVE-2026-44574 在 Next.js 中影响？
如果您的 Next.js 应用程序运行在 15.4.0–>= 16.0.0 或小于 16.2.5 的版本，则可能受到此漏洞的影响。请立即检查您的 Next.js 版本。
如何修复 CVE-2026-44574 在 Next.js 中？
建议立即升级到 Next.js 15.5.16 或更高版本以修复此漏洞。如果无法立即升级，请参考官方文档中的临时缓解措施。
CVE-2026-44574 是否正在被积极利用？
目前尚未公开发现大规模利用此漏洞的活动，但由于该漏洞允许绕过身份验证，因此存在被恶意利用的风险。
在哪里可以找到 Next.js 官方关于 CVE-2026-44574 的安全公告？
请访问 Next.js 官方安全公告页面，查找有关 CVE-2026-44574 的详细信息和修复指南：[https://github.com/vercel/next.js/security/advisories/GHSA-xxxx-xxxx-xxxx](https://github.com/vercel/next.js/security/advisories/GHSA-xxxx-xxxx-xxxx) (请替换为实际链接)
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...