Acesso sem autorização pelo prefetch em aplicações com Turbopack
A correção da CVE-2026-44575 deixou de contemplar aplicações que usam middleware.ts com Turbopack. No App Router, variantes de endereço usadas para carregar segmentos previamente, incluindo URLs .rsc, podem chegar à mesma página sem acionar a checagem de autorização do middleware. Assim, um atacante sem autenticação pode obter conteúdo protegido quando a aplicação depende dessa checagem para restringir o acesso. Este aviso complementa a correção anterior e identifica a falha como CVE-2026-45109.
Casos de uso afetados
- Você usa o App Router com Turbopack e concentra a autorização de uma página restrita no middleware.ts. A página pode recusar o acesso pelo endereço habitual, mas expor seu conteúdo por uma variante de prefetch que não recebe a mesma checagem.
Confira na sua instância
Confira a versão do next instalada no ambiente publicado e confirme se o build usa Turbopack e middleware.ts. Como teste de regressão em homologação, capture no painel de rede do navegador uma requisição de prefetch de uma página restrita e repita-a sem os cookies de sessão ou o cabeçalho Authorization. Compare a resposta com o acesso ao endereço habitual sem autenticação. Verifique o corpo retornado, pois a variante de prefetch também deve recusar o conteúdo protegido. Depois de atualizar para a versão corrigida da sua linha, gere e publique um novo build e repita essa conferência.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| next 15.x | >= 15.2.0 < 15.5.18 | 15.5.18 |
| next 16.x | >= 16.0.0 < 16.2.6 | 16.2.6 |
As correções estão disponíveis no projeto, mas você precisa conferir qual versão está em execução. Para adiar a atualização, o [aviso anterior](https://github.com/vercel/next.js/security/advisories/GHSA-267c-6grr-h53f) orienta verificar a autorização na lógica da própria rota ou página.
