文章总结： 2026年5月8日安全研究员dwisiswant0公开Next.js/React全版本12个CVE漏洞PoC，包含6个高危漏洞（SSRF、中间件绕过、DoS）。漏洞影响自托管环境，Vercel托管部分免疫。补丁已发布（Next.js15.5.16/16.2.5），建议24小时内升级并实施边缘层缓解措施。
综合评分： 87
文章分类： 漏洞预警,WEB安全,应用安全,安全运营,漏洞分析

12个CVE扎堆引爆：安全研究员一次性披露Next.js/React全版本高危漏洞

Jack Stone
Jack Stone

黑白之道

2026年5月10日 08:20
江西

在小说阅读器读本章

去阅读

导语：2026年5月8日，安全研究员 dwisiswant0 在 GitHub 公开发布 Next.js v16.2.4 安全 PoC 合集，一次性涵盖 12 个已修复 CVE（涵盖 CVE-2026-23870、CVE-2026-44574 至 CVE-2026-44582），其中 3 个高危漏洞（SSRF、认证绕过、DoS）可直接影响几乎所有生产环境部署。补丁已就绪，但大量系统仍未升级。

事件时间线

2026年5月7日，Vercel 核心维护者 Tim Neutkens 通过 GitHub 安全公告系列（GHSA 编号范围：GHSA-8h8q-6873-q5fj 至 GHSA-3g8h-86w9-wvmq）发布了 Next.js 安全补丁，修复版本为 15.5.16 和 16.2.5，覆盖 Next.js 13.x 至 16.x 全分支。

2026年5月8日，安全研究员 dwisiswant0 在 GitHub 发布 next-16.2.4-pocs[1] 仓库，将上述 12 个漏洞的反向工程 PoC 材料全部公开。该仓库由 ProjectDiscovery 的 Neo 工具辅助完成逆向分析，每个 CVE 对应独立目录，包含漏洞描述、补丁差异、可运行利用脚本及最小复现应用。

补丁修复版本一览：

| 受影响组件 | 修复版本 |
| — | — |
| Next.js 15.x 分支 | 15.5.16 |
| Next.js 16.x 分支 | 16.2.5 （Turbopack 用户须升级至 16.2.6） |
| react-server-dom-webpack | 19.0.6 / 19.1.7 / 19.2.6 |
| react-server-dom-parcel | 19.0.6 / 19.1.7 / 19.2.6 |
| react-server-dom-turbopack | 19.0.6 / 19.1.7 / 19.2.6 |

5月8日，Netlify、CyberPress、GBHackers、Cryptika Cybersecurity 等多家安全媒体同步跟进报道，确认 Vercel 托管部署对部分漏洞免疫，但自托管环境暴露面广泛。

12个CVE全貌：严重性分布

本次披露的 12 个漏洞可按严重性分为三个等级：

高危（High）：6个

中危（Moderate）：4个

低危（Low）：2个

| CVE ID | GHSA | 漏洞类型 |
| — | — | — |
| CVE-2026-44582 | GHSA-vfv6-92ff-j949 | RSC 缓存破坏哈希弱化 |
| CVE-2026-44572 | GHSA-3g8h-86w9-wvmq | redirect 缓存投毒 |

值得注意的是，CVE-2026-44578 在评级上虽为 High，但其攻击面（无需认证、可探测内网资源）在实际威胁评估中接近 Critical 级别。

三大核心风险详解

SSRF 漏洞：CVE-2026-44578

这是本批漏洞中单项风险最高的一个。攻击者通过操控 WebSocket 升级请求，可强制自托管 Next.js 服务器以自身身份向任意地址发起请求。在云原生部署场景下，攻击者可以：

探测 AWS/GCP/Azure 实例元数据端点（169.254.169.254）
访问内部微服务和管理界面
绕过防火墙规则横向移动

Vercel 托管部署不受此漏洞影响，但所有自托管 Node.js 部署须立即评估。

DoS 双重威胁：CVE-2026-23870 & CVE-2026-44579

CVE-2026-23870 是一个”修复之后再修复”的典型案例。dwisiswant0 的 PoC 仓库文档明确记载：用于修复 CVE-2026-23869 的版本（19.0.5 / 19.1.6 / 19.2.5）自身即为 CVE-2026-23870 的漏洞版本。

这意味着已完成上一轮 DoS 补丁升级的组织，若不跟进本次升级，仍然暴露。

CVE-2026-44579 则瞄准 Cache Components 的 Partial Prerendering 特性，恶意 POST 请求可触发请求体死锁，导致服务连接耗尽。Vercel 建议在边缘层拦截所有包含 Next-Resume 请求头的入站请求作为临时缓解。

中间件绕过三连击：CVE-2026-44574 / CVE-2026-44575 / CVE-2026-44573

三组不同的绕过技术覆盖了 Next.js 几乎所有的路由架构：

CVE-2026-44574：通过注入动态路由参数，使中间件匹配规则对真实请求路径失明
CVE-2026-44575：利用 .rsc 和 segment-prefetch URL 格式绕过 App Router 中间件检查
CVE-2026-44573：针对 Pages Router + i18n 配置，locale-less 数据请求可绕过认证获取 SSR JSON

Cloudflare WAF 更新日志明确指出：这三个中间件绕过漏洞无法通过任何托管 WAF 规则安全拦截。

PoC 公开意味着什么

dwisiswant0 的 PoC 仓库是本次事件的重要转折点。在 PoC 公开前，漏洞仅有理论风险；PoC 公开后，任何具备基本技术能力的攻击者都可以在数分钟内完成复现。

该仓库的公开工作坊链接（Neo by ProjectDiscovery）使漏洞利用门槛进一步降低。GitHub Advisory Database 和 NVD 已同步收录所有 12 个 CVE，扫描工具和自动化攻击框架将在数天内集成相关检测规则。

受影响范围速查

| 部署类型 | 暴露等级 | Vercel 托管是否免疫 |
| — | — | — |
| Next.js 15.x / 16.x 自托管 | 🔴 高危 | 部分免疫（SSRF/Cache DoS 不免疫） |
| Next.js 13.x / 14.x 自托管 | 🔴 高危 | 部分免疫 |
| Vercel 托管（App Router） | 🟡 中危 | 多数漏洞免疫 |
| React Server Components 包（RSC） | 🔴 高危 | 不适用 |
| React 客户端侧应用 | 🟢 低危 | 不适用 |

即时止损动作

立即升级：Next.js 至 15.5.16 / 16.2.5（Turbopack 用户 16.2.6）；RSC 包至 19.0.6 / 19.1.7 / 19.2.6
边缘缓解：在反向代理层拦截含 Next-Resume 头的入站请求
SSRF 缓解：阻断未授权 WebSocket 升级请求，剥离内部响应头
WAF 不可替代：Cloudflare 已确认网络层规则无法全面拦截，代码级修复是唯一可靠路径

长线修复计划

| 优先级 | 行动项 | 截止建议 |
| — | — | — |
| P0 | Next.js + RSC 包全量升级 | 24小时内 |
| P0 | 确认 lockfile 中无遗留 vulnerable 版本 | 24小时内 |
| P1 | 审查 SSRF 暴露面，限制自托管 Node.js 出站访问 | 72小时内 |
| P1 | 将认证逻辑下沉至路由层，不依赖中间件 | 本迭代 |
| P2 | 监控 GitHub Advisory 后续披露（目前已有至少4轮迭代） | 持续 |

重要提示：React Server Components 自 2025年12月至今已出现至少4轮安全公告迭代，每轮 DoS 补丁后均有新攻击向量被发现。本次事件表明，补丁不能一劳永逸，组织应建立针对 RSC 相关 CVE 的持续监控机制。

若您所在行业涉及 GDPR、等保2.0 或 PCI-DSS，从漏洞披露到 PoC 公开的时间窗口极短（约24小时），监管报告义务窗口期内发生的数据泄露将面临合规追责风险。

图片版权华盟网

引用链接

[1]next-16.2.4-pocs: https://github.com/dwisiswant0/next-16.2.4-pocs

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑白之道 Jack Stone
Jack Stone《12个CVE扎堆引爆：安全研究员一次性披露Next.js/React全版本高危漏洞》

Tags: WEB安全安全运营应用安全漏洞分析漏洞预警

你可能错过

FDE 热了：同一个名字，装着五种工作

好靶场月赛-APP渗透测试

秦汉：打不动了？泽连斯基低头求和，普京一句话戳穿骗局：不过家家，休想糊弄俄罗斯！

(9.9分) CVE-2026-100740：D-Link路由器越界写入可远程打崩