Exécution de code arbitraire à distance affectant Next.js
Une vulnérabilité critique affectant Next.js permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les serveurs Windows utilisant certaines configurations de Next.js.
Description
Contexte technique et détails de la vulnérabilité
Next.js est un framework JavaScript open source basé sur React, utilisé pour le développement d'applications web modernes avec un rendu hybride, côté serveur comme côté client. Ce framework est affecté par une vulnérabilité libellée CVE-2026-75604, résultant d'un traitement incorrect des chemins de fichiers sous Windows. Son exploitation, qui concerne les applications utilisant simultanément les modules « Pages Router » et « App Router » sans composants de cache, permettrait à un acteur malveillant non authentifié de provoquer une traversée de répertoires pouvant conduire à une exécution de code arbitraire à distance. Elle est classée critique avec un score de sévérité de 9.0 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Accès non autorisé aux fichiers du système ;
- Atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Applications utilisant Next.js versions 13.4 à 15.5.23 et 16.0 à 16.3.2, lorsqu'elles sont déployées sur un serveur Windows.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Next.js vers la version 15.5.24 ou 16.3.3 selon la branche utilisée.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.