CVE-2026-64646 Vercel — эксплойт и детали уязвимости MEDIUM

Параметр	Значение
CVSS	6,3 (MEDIUM)
Уязвимые версии	13.0.0 — 16.2.11
Устранено в версии	15.5.21
Тип уязвимости	CWE-770 (Выделение ресурсов без ограничений)
Поставщик	Vercel
Публичный эксплойт	Нет

Next.js — это платформа React для создания полнофункциональных веб-приложений. В версиях с 13.0.0 по 15.5.20 и с 16.0.0 по 16.2.10 запросы, нацеленные на приложения Next.js с использованием App Router по крайней мере с одним действием сервера, могут привести к чрезмерному потреблению памяти, если эти действия сервера используют среду выполнения Edge. Эта проблема исправлена в версиях 15.5.21 и 16.2.11.

Показать оригинальное описание (EN)

Next.js is a React framework for building full-stack web applications. In versions 13.0.0 through 15.5.20 and 16.0.0 through 16.2.10, requests targeting Next.js applications using App Router with at least one Server Action can lead to excessive memory consumption if that Server Actions uses the Edge runtime. This issue has been fixed in versions 15.5.21 and 16.2.11.

Характеристики атаки

Способ атаки

По сети

Атака возможна удалённо

Сложность

Низкая

Легко эксплуатировать

Условия для атаки

Требуются

Нужны дополнительные условия

Нужны права

Не требуются

Права не нужны

Участие пользователя

Не требуется

Не нужно действие пользователя

Последствия

Конфиденциальность

Нет

Нет утечки данных

Целостность

Нет

Нет модификации данных

Доступность

Низкое

Частичное нарушение работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-770 Allocation Without Limits (Выделение ресурсов без ограничений)

Уязвимые продукты 2

Конфигурация	От (включительно)	До (исключительно)
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`13.0.0`	`15.5.21`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`16.0.0`	`16.2.11`