What is CVE-2026-64645?

This vulnerability in Next.js allows `rewrites()` or `redirects()` rules that construct external destination hostnames from request-controlled input to bypass restrictions and point to an arbitrary hostname. It affects versions 12.0.0-15.5.20 and 16.0.0-16.2.10; mitigation requires immediate hostname validation enforcement or a framework update.

Azərbaycanca: Next.js framework-də aşkar edilmiş bu boşluq, xüsusi `rewrites()` və ya `redirects()` qaydaları vasitəsilə istifadəçi tərəfindən idarə olunan sorğu məlumatları ilə xarici host adı təyin edildikdə, təhlükəsizlik məhdudiyyətlərini aşaraq ixtiyari host adına yönləndirməyə imkan verir. 12.0.0-15.5.20 və 16.0.0-16.2.10 versiyalarını təsirləyir; inkişaf etdiricilər dərhal host adı doğrulamasını gücləndirməli və ya çərçivə yeniləməsini tətbiq etməlidir.