更新日志

针对至少使用了一个 Server Action 的 App Router 的 Next.js 应用程序的精心设计的请求可能会导致 CPU 使用率过高。该 CPU 使用率会阻止在同一进程中处理进一步的请求，从而导致拒绝服务。

已部署 WAF 规则 Next.js - DoS - CVE-2026-64641（...90dcdb0a）以提供覆盖。

使用 App Router 并通过 Turbopack 构建，且在 config.i18n.locales 中包含单个条目的 Next.js 应用程序容易受到中间件/代理绕过的影响。因此，中间件/代理可能执行的任何身份验证或安全检查都将被绕过。

这是一个中间件绕过，遗憾的是无法通过 Cloudflare WAF 签名引擎进行覆盖。

从请求控制的输入中构建其外部目标主机名的 rewrites() 或 redirects() 规则可以指向任意主机名，而不管规则的主机名后缀如何。对于重写，这种行为会启用服务端请求伪造 (SSRF)；对于重定向，可以实现开放重定向。

现有的 SSRF 规则为该漏洞提供了足够的覆盖，因此未开发量身定制的 WAF 规则。

当 Server Action 转发或重定向请求时，攻击者可能会导致服务器将该出站请求发送到恶意主机（服务端请求伪造）。这需要攻击者的请求能够控制与 Host 相关的标头。

已部署 WAF 规则 Next.js - SSRF - CVE-2026-64649（...930091a3）以提供覆盖。

在使用默认图像加载器自行托管 Next.js 时，如果进行了配置（默认情况下不启用），图像优化 API 可以优化远程托管的图像。如果这些图像包含恶意内容，这些图像可能会导致 /_next/image 端点中的 CPU 耗尽。

遗憾的是，恶意请求与合法的图像优化请求无法区分，因此没有创建 WAF 规则来解决该漏洞。

精心设计的请求可能会导致 Edge 运行时中 Server Actions 的内存消耗。使用 App Router 并且具有至少一个 Server Action 的 Next.js 应用程序将受到影响。

遗憾的是，没有一个万能的规则可以通过 WAF 部署来代替自定义的 bodySizeLimit 配置，因此没有创建 WAF 规则来解决此漏洞。

在使用 App Router 的 Next.js 应用程序中，Server Actions（use server）或 use cache 端点 ID 可能会被全局泄露。攻击者可以利用这一点进行侦察，并将其作为更广泛攻击链的一部分。

已部署 WAF 规则 Next.js - Information Disclosure - CVE-2026-64643（...72952826）以提供覆盖。

带有请求体的服务端 fetch 可能会从针对相同 URL 但请求体不同的不同请求返回缓存的响应体。这仅适用于形状为 fetch(new Request(init), aDifferentInit) 的 fetch 调用。

这是一个应用逻辑 bug，遗憾的是无法通过 Cloudflare WAF 签名引擎进行覆盖。

带有请求体的服务端 fetch 可能会从针对相同 URL 但请求体不同的不同请求返回缓存的响应体。这仅在接收包含无效 UTF-8 字符的请求体时适用。

这是一个应用逻辑 bug，遗憾的是无法通过 Cloudflare WAF 签名引擎进行覆盖。

这是新的检测。

这是新的检测。

这是新的检测。

这是新的检测。

这是新的检测。

这是新的检测。

这是新的检测。

这是新的检测。

此前被标记为 Generic Rules - SQLi。

此前被标记为 Generic Rules - Unauthenticated RCE。

此前被标记为 Generic Rules - SQLi。

此前被标记为 Generic Rules - Unauthenticated RCE。

此前被标记为 Generic Rules - Information Disclosure。

此前被标记为 Generic Rules - Auth Bypass - 2。

此前被标记为 Generic Rules - RCE。

此前被标记为 Generic Rules - DoS。

此检测已被移除。

此检测已被移除。

此检测已被移除。