JVNDB-2026-008004

Vercel, Inc. (旧 Zeit, Inc.)のNext.jsにおけるクロスサイトリクエストフォージェリの脆弱性

Next.jsはフルスタックWebアプリケーションを構築するためのReactフレームワークです。バージョン16.0.1から16.1.7未満の間、`origin: null`はサーバーアクションのCSRF検証中に「欠落している」オリジンとして扱われていました。その結果、サンドボックス化されたiframeのような不透明なコンテキストからのリクエストがオリジン検証を回避し、クロスオリジンリクエストとして検証されませんでした。攻撃者は被害者のブラウザにサンドボックス化されたコンテキストからサーバーアクションを送信させ、被害者の資格情報を用いて状態を変更するアクションを実行させる可能性がありました（CSRF）。この問題はバージョン16.1.7で修正されており、`'null'`を明示的なオリジン値として扱い、`experimental.serverActions.allowedOrigins`で`'null'`が明示的に許可リストに含まれていない限りホスト／オリジンチェックを強制しています。直ちにアップグレードできない場合は、機密性の高いサーバーアクションにCSRFトークンを追加し、機密性の高い認証クッキーには`SameSite=Strict`を設定することを推奨します。また、意図的に必要かつ追加の保護策がない限り、`serverActions.allowedOrigins`に`'null'`を許可しないでください。

Vercel, Inc. (旧 Zeit, Inc.)

• Next.js 16.0.1 以上 16.1.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : null origin can bypass Server Actions CSRF checks  Advisory  vercel/next.js  GitHub

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-27978

1. National Vulnerability Database (NVD) : CVE-2026-27978
2. 関連文書 : Release v16.1.7  vercel/next.js  GitHub
3. 関連文書 : Disallow Server Action submissions from privacy-sensitive contexts (#…  vercel/next.js@a27a11d  GitHub

• [2026年03月23日]
    掲載