note

Tutte le CVE presentano AV:N (attack vector network) e PR:N (nessun privilegio richiesto), con AT:P (attack requirements presenti) che indica condizioni specifiche di configurazione o comportamento richieste per lo sfruttamento.

Le versioni impattate variano per CVE. CVE-2026-64641, CVE-2026-64643, CVE-2026-64646, CVE-2026-64647, CVE-2026-64648 e CVE-2026-64649 coprono Next.js dalla 13.x/14.x fino a <15.5.21 (branch 15) e dalla 16.0.0 fino a <16.2.11. CVE-2026-64642 è limitata esclusivamente alla branch 16.x (16.0.0–<16.2.11), richiedendo inoltre build Turbopack e singola voce i18n. CVE-2026-64644 copre 15.5.0–<15.5.21 e 16.0.0–<16.2.11. CVE-2026-64645 copre 12.x–<15.5.21 e 16.0.0–<16.2.11, con la più ampia superficie di versioni.

Sotto il profilo dell'impatto CVSS 4.0: CVE-2026-64642, CVE-2026-64645 e CVE-2026-64649 presentano VC:H (confidenzialità base elevata), con score 8.3. CVE-2026-64645 aggiunge SC:L/SI:L indicando scope changed parziale, con impatto oltre il processo corrente. CVE-2026-64641 presenta VA:H (disponibilità base elevata, score 8.2), con AC:L che abbassa la complessità rispetto ad altre CVE con AC:H. CVE-2026-64647 ha AC:H, riducendo la probabilità di sfruttamento rispetto alle altre. CVE-2026-64648 richiede UI:P (interazione utente parziale).

Le due CVE di cache confusion (CVE-2026-64647 e CVE-2026-64648) impattano la server-side fetch con scenari distinti: la prima via encoding UTF-8 non valido nel body, la seconda via overriding del body con la sintassi fetch(new Request(init), aDifferentInit).

L'information disclosure di CVE-2026-64643 è limitata a VC:L, ma gli identificatori Server Action/use cache esposti sono sfruttabili per ricognizione di superficie applicativa.

Tutte le CVE hanno priority classificata come low per effetto di EPSS percentile pari a zero al momento della pubblicazione, riflettendo l'assenza di dati di sfruttamento osservato.

Non risultano a oggi CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.