CVE-2026-64647 in Next.js
الملخص
بحسب VulDB • 28/07/2026
Next.js هو إطار عمل React لتطبيقات الويب ذات الطبقات المتكاملة (full-stack). في الإصدارات من 12.0.0 إلى 15.5.20 ومن 16.0.0 إلى 16.2.10، قد يؤدي طلب fetch على جانب الخادم يحتوي على جسم الطلب (request body) إلى إرجاع استجابة مخزنة مؤقتاً (cached response body) تابعة لطلب مختلف موجه لنفس عنوان URL ولكن بجسم طلب مختلف. وبالتالي، سيتم تسريب البيانات السرية الموجودة في جسم استجابة POST إلى طلبات غير مصرح لها. ومع ذلك، لن يتم إلغاء ازدواجية الطلب نفسه (deduplication). هذه المشكلة تظهر فقط عند استقبال أجسام الطلبات التي تحتوي على نوع محتوى (content type) بتشفير أحرف (charset) مختلف عن UTF-8. فعلى سبيل المثال، ستتشارك تسلسلات البايت الخاصة بـ UTF-16 للنصوص "삃삃" و"섄섄" الموجودة في جسم الطلب نفس مساحة التخزين المؤقت. تم إصلاح هذه المشكلة في الإصدارات 15.5.21 و16.2.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.