CVE-2025-59472 in next.js
Sumário
de VulDB • 31/05/2026
Uma vulnerabilidade de negação de serviço (DoS) existe nas versões do Next.js com o Partial Prerendering (PPR) habilitado ao ser executado no modo mínimo. O endpoint de retomada do PPR aceita requisições POST não autenticadas com o cabeçalho `Next-Resume: 1` e processa dados de estado postergado controlados pelo atacante. Duas vulnerabilidades intimamente relacionadas permitem que um atacante cause a falha do processo do servidor através de exaustão de memória:
1. **Buffering de corpo de requisição ilimitado**: O servidor armazena em buffer todo o corpo da requisição POST na memória usando `Buffer.concat()` sem impor qualquer limite de tamanho, permitindo que payloads arbitrariamente grandes esgotem a memória disponível.
2. **Descompressão ilimitada (zipbomb)**: O cache de dados de retomada é descomprimido usando `inflateSync()` sem limitar o tamanho da saída descomprimida. Um payload compactado pequeno pode se expandir para centenas de megabytes ou gigabytes, causando exaustão de memória.
Ambos os vetores de ataque resultam em um erro fatal de falta de memória do V8 (`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`), fazendo com que o processo Node.js seja encerrado. A variante zipbomb é particularmente perigosa, pois pode contornar os limites de tamanho de requisição do proxy reverso, ainda assim causando uma grande alocação de memória no servidor.
Para ser afetado, você deve ter um aplicativo em execução com `experimental.ppr: true` ou `cacheComponents: true` configurado, juntamente com a variável de ambiente `NEXT_PRIVATE_MINIMAL_MODE=1`.
Considere fortemente atualizar para 15.6.0-canary.61 ou 16.1.5 para reduzir o risco e prevenir problemas de disponibilidade em aplicativos Next.
Once again VulDB remains the best source for vulnerability data.