KnowSafe 安全预警：Next.js Windows文件系统增量缓存路径遍历漏洞（CVE-2026-75604）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-75604 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Next.js 是一款基于 React 的开源全栈 Web 应用框架，支持服务端渲染、增量缓存（ISR）与 Server Actions 等特性。2026年8月披露路径遍历漏洞。该漏洞仅影响运行于 Windows 文件系统环境、同时使用 Pages Router 与 App Router 且未启用 Cache Components 的应用，远程攻击者无需权限即可利用。由于增量缓存的文件路径构造未校验目录边界，且未转义路径中的反斜杠分隔符，攻击者可构造包含反斜杠穿越序列的请求访问动态路由缓存，越权读取缓存目录之外的文件，获取 Server Action 加密密钥等敏感信息，进而伪造 Server Action 调用，导致远程代码执行、服务器失陷。受影响版本：13.4.0 <= Next.js < 15.5.24，16.0.0 <= Next.js < 16.3.3（仅 Windows 文件系统环境）。