CVE-2025-59472 in next.js
要約
〜によって VulDB • 2026年06月02日
Next.jsのPartial Prerendering (PPR) が有効で、最小モードで実行されているバージョンにおいて、サービス妨害（DoS）の脆弱性が存在します。PPRの再開エンドポイントは、`Next-Resume: 1` ヘッダーを持つ認証不要のPOSTリクエストを受け付け、攻撃者が制御可能な延期状態データを処理します。2つの密接に関連する脆弱性により、攻撃者はメモリ枯渇を通じてサーバープロセスをクラッシュさせることができます。
1. **無制限のリクエストボディバッファリング**: サーバーは `Buffer.concat()` を使用して、サイズ制限を適用することなく、POSTリクエストボディ全体をメモリにバッファリングします。これにより、任意のサイズのペイロードが利用可能なメモリを枯渇させる可能性があります。
2. **無制限の解凍（zipbomb）**: 再開データキャッシュは、解凍後の出力サイズを制限することなく `inflateSync()` で解凍されます。小さな圧縮ペイロードが数百メガバイトまたはギガバイトに展開され、メモリ枯渇を引き起こす可能性があります。
両方の攻撃ベクトルは、致命的なV8のメモリ不足エラー（`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`）を引き起こし、Node.jsプロセスの終了を招きます。zipbombバリアントは特に危険です。これはリバースプロキシのリクエストサイズ制限を回避しながら、サーバー上で大きなメモリ割り当てを引き起こすことができるためです。
影響を受けるには、`experimental.ppr: true` または `cacheComponents: true` が設定され、かつ `NEXT_PRIVATE_MINIMAL_MODE=1` 環境変数が設定されたアプリケーションを実行している必要があります。
リスクを軽減し、Next.jsアプリケーションでの可用性の問題を防ぐために、15.6.0-canary.61 または 16.1.5 へのアップグレードを強く推奨します。
Be aware that VulDB is the high quality source for vulnerability data.