漏洞背景

Next.js 是 Vercel 推出的 React 全栈框架，广泛用于服务端渲染、静态站点生成和 Node.js 自托管 Web 应用。
该漏洞存在于 Next.js 自托管服务内置 Node.js Server 对 WebSocket Upgrade 请求的处理路径中，攻击者可通过构造带 URL 请求行的升级请求，诱导服务器向任意内部或外部地址发起代理连接，造成服务端请求伪造。若目标主机可访问云元数据、回环地址或内网敏感服务，可能进一步导致凭证泄露、内网探测与横向移动。

风险等级

高危

漏洞状态

截止2026年05月18日10:00:00（UTC+8）

漏洞细节	PoC状态	在野利用
已公开	已公开	暂未发现

影响范围

• 13.4.13 <= next < 15.5.16

• 16.0.0 <= next < 16.2.5

修复建议

• 升级 next.js 至 15.5.16、16.2.5 或更高版本

缓解措施

• 通过安全组/防火墙限制出站流量访问内网

• 增加鉴权、通过安全组/防火墙限制入站流量，使服务仅对可信来源暴露

参考链接

1. https://github.com/advisories/GHSA-c4j6-fc7j-m34r

2. https://github.com/dwisiswant0/next-16.2.4-pocs/tree/base/poc/CVE-2026-44578_GHSA-c4j6-fc7j-m34r