30秒で判断
- 対応すべき人: Next.js の App Router + Turbopack で
middleware.tsを使ってアクセス制御を実装している人 - 対応不要な人: Next.jsを利用していない、またはTurbopackを使っていない人
- 確認コマンド:
npm ls nextでバージョンを確認
概要
以前修正された CVE-2026-44575 と同種の問題が、Turbopackでビルドした場合の middleware.ts には適用されていませんでした。セグメントプリフェッチルートを経由することで、ミドルウェア・プロキシによるアクセス制御チェックを回避できる可能性があります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| Confidentiality | High |
| Integrity | None |
| Availability | None |
| スコア | 7.5 (High) |
影響を受けるソフトウェア
| 製品 | エコシステム | 影響バージョン |
|---|---|---|
| next | npm | < 15.5.18 |
| next | npm | < 16.2.6 |
修正バージョンと回避策
- v15.5.18 または v16.2.6 以降へアップデートしてください。
- アップデートが難しい場合は、ミドルウェアのみに依存せず、各ページ・API側でもアクセス制御を実装することを検討してください。
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。