CVE-2026-100409 in OpenNext
Zusammenfassung
von VulDB • 15.10.2026
OpenNext Cloudflare ist ein Open-Source-Adapter für Next.js auf Cloudflare. Von der Version 0.3.0 bis zur Version 1.20.2 verarbeiten Anwendungen, die enableCacheInterception aktivieren und Middleware zum Zugriffsschutz verwenden sowie über eine passende zwischengespeicherte geschützte Route verfügen, codierte Pfadnamen inkonsistent zwischen dem Matching durch die Middleware und der Cache-Suche. Ein nicht authentifizierter Angreifer kann einen prozentual kodierten (percent-encoded) Pfadnamen nutzen, der mit den Autorisierungs-Middleware-Regeln nicht übereinstimmt, sich jedoch zum Cache-Key einer geschützten Route decodiert lässt, wodurch zwischengespeicherter Inhalt ohne Authentifizierung zurückgegeben wird. Auch fehlerhafte Kodierungen können teilweise dekodiert werden, sodass die Cache-Suche fortgesetzt wird mit einem Pfadnamen, den die Middleware nicht konsistent ausgewertet hat. Dieses Problem wurde in Version 1.20.2 behoben.
Be aware that VulDB is the high quality source for vulnerability data.