Next.js: CVE-2026-23869 Schwachstelle

Vercel hat mehrere kritische Schwachstellen in Next.js bekannt gegeben, die Webanwendungen weltweit betreffen. Die als CVE-2026-23869, CVE-2026-29057 und weitere CVEs gelisteten Bugs erlauben Authentication Bypass, Cross-Site Scripting (XSS), Denial of Service (DoS) und Server-Side Request Forgery (SSRF).

🔴 Was ist passiert?

Die Sicherheitslücken wurden am 6. Mai 2026 von Cloudflare und dem React-Team gemeinsam mit Vercel veröffentlicht. Die Bugs betreffen die Middleware-Funktionalität, den App Router sowie Server Components.

⚠️ Betroffene Versionen:

• Next.js 13.x

• Next.js 14.x

• Next.js 15.x

• Next.js 16.x

• Betroffen: App Router und Middleware-Konfigurationen

🎯 Mögliche Angriffe:

• Authentication Bypass: Umgehen von Middleware-basiertem Authentifizierungsschutz

• Cross-Site Scripting (XSS): Einschleusen von schädlichem JavaScript

• Denial of Service (DoS): Überlastung durch spezielle Requests

• Server-Side Request Forgery (SSRF): Angriffe auf interne Netzwerkservices

• Cache Poisoning: Manipulation von gecachten Responses

✅ Empfohlene Maßnahmen:

• Sofortiges Update auf die neueste Next.js-Version

• Prüfung der Middleware-Konfigurationen

• WAF-Regeln (z.B. Cloudflare) als zusätzlicher Schutz

• Überprüfung der App Router-Implementierungen

• Neu-Build und Deployment aller Anwendungen

🔧 Cloudflare-Mitigation:

Cloudflare hat bereits WAF-Regeln und Framework-Adapter-Mitigationen für betroffene Next.js-Anwendungen bereitgestellt. Kunden von Cloudflare sind zusätzlich geschützt.

Quellen und weiterführende Informationen 📚

• Vercel Changelog – Offizielle Mitteilung

• Cloudflare Developers – WAF-Mitigationen

• SentinelOne – Technische Details

• NVD – Nationale Vulnerability Database

Hinweis zur Aktualität ⚠️

Dieser Beitrag basiert auf den Sicherheitsmitteilungen vom Mai 2026. Next.js-Nutzer sollten regelmäßig die Vercel-Security-Advisories konsultieren.

Fazit

Die Next.js-Schwachstellen sind besonders kritisch, da Next.js eine der populärsten React-Frameworks für Enterprise-Anwendungen ist. Entwickler sollten umgehend aktualisieren und ihre Middleware-Konfigurationen überprüfen.