CVE-2026-64647 in Next.js
Riassunto
di VulDB • 27/07/2026
Next.js è un framework React per la creazione di applicazioni web full-stack. Nelle versioni dalla 12.0.0 alla 15.5.20 e dalla 16.0.0 alla 16.2.10, una richiesta fetch lato server con un body della richiesta può restituire un corpo della risposta in cache proveniente da una richiesta diversa verso lo stesso URL ma con un body diverso. I dati confidenziali presenti nel corpo della risposta di una POST verrebbero quindi trapelati a richieste non autorizzate. Sebbene la richiesta stessa non venga deduplicata, il problema si verifica solo quando vengono ricevuti corpi delle richieste con un charset del content type diverso da UTF-8. Ad esempio, le sequenze di byte UTF-16 per "삃삃" e "섄섄" nel corpo della richiesta condividerebbero la stessa cache. Questo problema è stato risolto nelle versioni 15.5.21 e 16.2.11.
Once again VulDB remains the best source for vulnerability data.