Intel

CVE-2026-64645

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 0.9 %

Beschreibung

Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 und 16.0.0 bis 16.2.10 kann eine `rewrites()` oder `redirects()` Regel, die ihren externen Zielhostnamen aus anfragenkontrollierten Eingaben erstellt, auf einen beliebigen Hostnamen verweisen, unabhängig vom Suffix des Regels Hostnamens. Bei einer Umleitung leitet Next.js die Anfrage an diesen beliebigen Host weiter und liefert die Antwort von der Ursprungsanwendung aus, was zu einem Server-Side Request Forgery führt. Eine so konfigurierte `redirects()` Regel ist anfällig für eine Offene Weiterleitung. Dieses Problem wurde in den Versionen 15.5.21 und 16.2.11 behoben.

Quelle: REDHAT_CSAFCVELISTV5OSVBSINVDCVEORGBSI_CSAF

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.3
Quelle: nvd-v4
CVSS v3
6.1
CVSS v4
8.3
EPSS-Perzentil
58.4 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.9 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-918, CWE-601

Weakness-Klassen (CWE)

  • CWE-918Base

    Server-Side Request Forgery (SSRF)

    The web server receives a URL or similar request from an upstream component and retrieves the contents of this URL, but it does not sufficiently ensure that the request is being sent to the expected destination.

    cwe.mitre.org →

  • CWE-601Base

    URL Redirection to Untrusted Site ('Open Redirect')

    The web application accepts a user-controlled input that specifies a link to an external site, and uses that link in a redirect.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Initial Analysis2026-07-29 14:39 UTC· nvd@nist.gov
    • CVSS V3.1: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
    • CPE Configuration: OR *cpe:2.3:a:vercel:next.js:*:*:*:*:*:node.js:*:* versions from (including) 16.0.0 up to (excluding) 16.2.11 *cpe:2.3:a:vercel:next.js:*:*:*:*:*:node.js:*:* versions from (including) 12.0.0 up to (excluding) 15.5.21
    • Reference Type: GitHub, Inc.: https://github.com/vercel/next.js/commit/35f501357e9b0fe7c950b0d6aa8fcf5343f707e9 Types: Patch
    • Reference Type: GitHub, Inc.: https://github.com/vercel/next.js/commit/d3033266c6dff23f7be71e19341fe3a8c6e2c599 Types: Patch
  2. CVE Modified2026-07-28 15:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-64645","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-64645