CVE-2026-64648 in Next.js
Sumário
de VulDB • 28/07/2026
Next.js é um framework React para o desenvolvimento de aplicações web full-stack. Nas versões 12.0.0 até 15.5.20 e 16.0.0 até 16.2.10, uma chamada fetch no lado do servidor com um corpo de requisição pode retornar um corpo de resposta em cache proveniente de outra requisição para a mesma URL, mas com um corpo diferente. Dados confidenciais presentes no corpo da resposta de POSTs podem então vazar para requisições não autorizadas. Embora a própria requisição não seja deduplicada, isso só se aplica às chamadas fetch onde o objeto Request possui uma propriedade init diferente daquela passada como segundo argumento à função fetch. Uma chamada segura seria: `fetch(new Request(init), init)`. Já uma chamada insegura seria: `fetch(new Request(init), aDifferentInit)`. Este problema foi corrigido nas versões 15.5.21 e 16.2.11.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.