Next.js是广泛使用的开源React Web应用开发框架，被大量企业级应用部署使用。近日，Next.js被披露存在Windows文件系统路径遍历漏洞，目前该漏洞PoC与EXP均已公开，利用门槛较低；虽然暂未监测到在野利用，但存在被大规模利用的风险，建议受影响用户尽快完成修复。

漏洞详情
近日，安全研究员披露了Next.js中存在的路径遍历漏洞（CVE-2026-75604）。该漏洞影响运行于 Windows 文件系统环境中的特定Next.js应用。当目标应用同时使用Pages Router和App Router，且未启用Cache Components时，攻击者可通过网络发送特制请求触发路径处理缺陷，利用Windows文件系统路径特性实现目录穿越，最终导致远程代码执行。
该漏洞的利用前置条件如下：
（1）攻击者能够通过网络访问目标Next.js应用；
（2）目标应用运行在Windows文件系统环境；
（3）目标应用同时使用Pages Router和App Router；
（4）目标应用未启用Cache Components。公开 PoC 的实际复现还依赖特定缓存路由及Server Action 等应用配置条件。

影响范围
Next.js 13.4.0（含）至 15.5.24（不含）；16.0.0（含）至 16.3.3（不含），仅限 Windows 文件系统

漏洞复现
经复现测试确认，该漏洞可在Windows环境下达成未授权远程代码执行效果。该漏洞的利用细节已公布，攻击者只要目标满足对应的缓存路由、Server Action配置要求，就能够稳定触发漏洞，攻击流程如下：

排查方法
建议用户参考以下方式排查自身环境是否受该漏洞影响：
（1）确认部署环境：目标应用运行于Windows文件系统，且同时使用Pages Router与App Router；
（2）检查Next.js版本：在项目根目录执行“npm list next”或查看package.json中的next版本，确认是否处于受影响范围；
（3）确认Cache Components未启用状态，以及缓存路由、Server Action 等相关应用配置。

修复建议
建议受影响用户尽快将Next.js升级至安全版本，正式防护方案如下：
升级至以下版本：
（1）Next.js 15.x 用户升级至 15.5.24 或更高版本；
（2）Next.js 16.x 用户升级至 16.3.3 或更高版本。
升级完成前，建议加强应用访问控制、监测异常请求，持续关注官方安全公告。

产品支持
云安服-安全监测平台：默认支持该产品的指纹识别，已更新漏洞检测规则，已支持该漏洞的在线检测。
昆仑漏洞扫描平台专业漏洞检测工具，已更新漏洞检测规则，已支持该漏洞的在线检测。
实战化攻防技能演训平台：模拟真实攻防仿真场景，提升蓝军、红军实战应对能力训练平台。
云瞳云WAF：为中小企业提供一键化接入和专业级防护，有效应对Web攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫等Web业务安全防护问题。

参考链接
Next.js 官方安全公告（GHSA-p293-qw3h-jr36）：https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36