CVE-2025-49005 in next.js
Résumé
par VulDB • 22/05/2026
Next.js est un framework React pour la création d'applications web full-stack. Dans Next.js App Router, des versions comprises entre 15.3.0 et la version 15.3.3 (exclue), ainsi que dans Vercel CLI, des versions comprises entre 41.4.1 et 42.2.0 (exclue), une vulnérabilité d'empoisonnement de cache a été identifiée. Ce problème permettait, dans certaines conditions, aux requêtes de pages pour du contenu HTML de retourner une charge utile de React Server Component (RSC) à la place. Lorsqu'il est déployé sur Vercel, cela n'affecte que le cache du navigateur et n'entraîne pas l'empoisonnement du CDN. En cas d'hébergement autonome et de déploiement externe, cela pourrait entraîner un empoisonnement de cache si le CDN ne distingue pas correctement les RSC et le HTML dans les clés de cache. Ce problème a été résolu dans Next.js 15.3.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.