Next.js: Denial of Service über Server Actions im App Router
Zusammenfassung
Next.js, ein React-Framework für Full-Stack-Webanwendungen, ist in App-Router-Anwendungen betroffen, die mindestens eine Server Action verwenden. Speziell präparierte Anfragen können die CPU-Auslastung übermässig ansteigen lassen und die weitere Verarbeitung von Anfragen im selben Prozess blockieren. Anwendungen mit Pages Router sowie App-Router-Anwendungen ohne Server Actions sind nicht betroffen. Der Angriff erfolgt aus der Ferne und erfordert weder Authentifizierung noch Benutzerinteraktion, beeinträchtigt jedoch nur die Verfügbarkeit.
Betroffen
- Next.js 13.0.0 bis einschliesslich 15.5.27
- Next.js 16.0.0 bis einschliesslich 16.4.0
Behoben in
- Next.js 15.5.28
- Next.js 16.4.1
Umgehung
Keine Workaround dokumentiert. Ein Upgrade ist die einzige Behebung.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell
- Gemäss Prüfungen Dritter nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden; fehlende Belege sind kein Beweis für fehlende Ausnutzung
Unsere Empfehlung
- Alle Next.js-Versionen in Webprojekten, Build-Pipelines und internen Anwendungen inventarisieren
- App-Router-Anwendungen mit Server Actions identifizieren und öffentlich erreichbare Anwendungen priorisieren
- Auf 16.4.1 oder neuer aktualisieren, bzw. auf 15.5.28, falls ein Wechsel auf 16.x noch nicht möglich ist
- Das gleiche Update einspielen, das auch die beiden kritischen RCE-Fixes (CVE-2026-96889 und GHSA-673q-mjm6-r5xr) enthält
- Änderungen beim Ausnutzungsstatus überwachen und nach jedem Next.js-Sicherheitsrelease erneut prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-p3m5-59mp-jv5r github.com
- Next.js release v15.5.28 github.com
- Next.js release v16.4.1 github.com
- Next.js security update, 14 October 2026 nextjs.org
- GitLab advisory database entry advisories.gitlab.com
- Brandefense: Next.js security updates October 2026 brandefense.io
- Rapid7 / Vulners record vulners.com
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.