CVE-2026-64648 in Next.js
요약
\~에 의해 VulDB • 2026. 07. 27.
Next.js는 풀스택 웹 애플리케이션을 구축하기 위한 React 프레임워크입니다. 버전 12.0.0부터 15.5.20까지 및 16.0.0부터 16.2.10까지는 요청 본문이 있는 서버 측 fetch가 동일한 URL이지만 다른 본문을 가진 다른 요청에서 캐시된 응답 본문을 반환할 수 있습니다. 이로 인해 POST의 응답 본문에 포함된 기밀 데이터가 승인되지 않은 요청으로 유출될 수 있습니다. 다만, 요청 자체는 중복 제거(dedup)되지 않습니다. 이 문제는 init이 fetch로 전달된 것과 다른 값을 갖는 요청을 사용하는 fetch 호출에만 적용됩니다. 안전한 요청 예시는 다음과 같습니다: `fetch(new Request(init), init)`. 비안전한 요청 예시는 다음과 같습니다: `fetch(new Request(init), aDifferentInit)`. 해당 이슈는 버전 15.5.21 및 16.2.11에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.