CVE-2026-64648 in Next.js
Zusammenfassung
von VulDB • 28.07.2026
Next.js ist ein React-Framework zum Erstellen von Full-Stack-Webanwendungen. In den Versionen 12.0.0 bis 15.5.20 sowie 16.0.0 bis 16.2.10 kann eine serverseitige Fetch-Anfrage mit einem Request Body einen zwischengespeicherten Response Body aus einer anderen Anfrage an dieselbe URL, jedoch mit anderem Body zurückgeben. Vertrauliche Daten im POST-Response Body würden dann an nicht autorisierte Anfragen weitergegeben (leaken). Die ursprüngliche Anfrage wird dabei zwar nicht dedupliziert. Dies betrifft ausschließlich Fetch-Aufrufe, bei denen die init-Eigenschaft der Request von derjenigen abweicht, die an fetch übergeben wurde. Eine sichere Anforderung wäre: `fetch(new Request(init), init)`. Eine unsichere Anforderung wäre: `fetch(new Request(init), aDifferentInit)`. Dieses Problem wurde in den Versionen 15.5.21 und 16.2.11 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.