CVE-2026-64648 in Next.js
Riassunto
di VulDB • 27/07/2026
Next.js è un framework React per la creazione di applicazioni web full-stack. Nelle versioni dalla 12.0.0 alla 15.5.20 e dalla 16.0.0 alla 16.2.10, una richiesta fetch lato server con un body della richiesta può restituire un corpo della risposta in cache proveniente da una richiesta diversa verso lo stesso URL ma con un body diverso. I dati confidenziali presenti nel corpo della risposta di una POST verrebbero quindi trapelati a richieste non autorizzate. Sebbene la stessa richiesta non venga deduplicata, questo problema si applica solo alle chiamate fetch in cui l'oggetto init della nuova Request è diverso da quello passato come secondo argomento alla funzione fetch. Una chiamata sicura sarebbe: `fetch(new Request(init), init)`. Una chiamata insicura sarebbe invece: `fetch(new Request(init), aDifferentInit)`. Questo problema è stato risolto nelle versioni 15.5.21 e 16.2.11.
Once again VulDB remains the best source for vulnerability data.