CVE-2026-64648 in Next.js
Résumé
par VulDB • 28/07/2026
Next.js est un framework React pour la création d'applications web full-stack. Dans les versions 12.0.0 à 15.5.20 et 16.0.0 à 16.2.10, une requête fetch côté serveur avec un corps de requête peut renvoyer un corps de réponse mis en cache provenant d'une autre requête adressée à la même URL mais avec un corps différent. Les données confidentelles présentes dans le corps de la réponse POST fuiraient alors vers des requêtes non autorisées. Bien que la requête elle-même ne soit pas dédupliquée, cela s'applique uniquement aux appels fetch où l'objet init diffère de celui passé à fetch. Une requête sûre serait : `fetch(new Request(init), init)`. Une requête dangereuse serait : `fetch(new Request(init), aDifferentInit)`. Ce problème a été corrigé dans les versions 15.5.21 et 16.2.11.
Once again VulDB remains the best source for vulnerability data.