【Next.js 服务器端请求伪造漏洞(CVE-2026-44578)】

01 漏洞概况

Next.js 服务器端存在请求伪造漏洞，框架在处理部分路由重定向、内部资源请求或代理逻辑时，未对用户可控的外部输入地址做严格的内网 IP、本地回环地址、敏感协议及端口过滤校验，攻击者可构造恶意请求操控服务端向内部网络、本地服务发起任意请求，从而实现探测内网资产、读取本地敏感信息、绕过访问控制等 SSRF 攻击行为。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	Next.js 服务器端请求伪造漏洞
漏洞编号	CVE编号	CVE-2026-44578‍
漏洞评估	披露时间	2026-05-19
	漏洞类型	服务器端伪造请求（SSRF）
	危害评级	高危
	公开程度	PoC已公开
	威胁类型	远程
利用情报	在野利用	未发现
影响产品	产品名称	Next.js
	受影响版本	13.4.13 ≤ Next.js < 15.5.16,16.0.0 ≤ Next.js < 16.2.5
	影响范围	广
	有无修复补丁	有

03 漏洞排查

用户应尽快排查自托管的 Next.js 应用版本是否受该漏洞影响，在项目根目录执行 npm list next 或查看 package.json 中的 next 版本号，若版本在 13.4.13 至 15.5.15 之间或 16.0.0 至 16.2.4 之间，则极大可能会受到影响，需及时进行修复。

04 修复方案

当前官方已发布最新版本修复该漏洞，建议受影响用户更新到最新版本。下载链接：   https://github.com/vercel/next.js/releases/tag/v15.5.16https://github.com/vercel/next.js/releases/tag/v16.2.5

05 时间线

2026.05.19 安迈信科安全运营团队发布通告