CVE-2025-49005 in next.js
Tóm tắt
Bởi VulDB • 13/06/2026
Next.js là một khung làm việc React để xây dựng các ứng dụng web full-stack. Trong Next.js App Router từ phiên bản 15.3.0 đến trước 15.3.3 và Vercel CLI từ 41.4.1 đến 42.2.0, đã phát hiện một lỗ hổng đầu độc bộ nhớ đệm (cache poisoning). Lỗ hổng này cho phép các yêu cầu trang đối với nội dung HTML trả về tải trọng Thành phần Máy chủ React (RSC) thay thế trong những điều kiện nhất định. Khi được triển khai trên Vercel, vấn đề này chỉ ảnh hưởng đến bộ nhớ đệm trình duyệt và không dẫn đến việc đầu độc CDN. Khi tự lưu trữ và triển khai ra bên ngoài, lỗ hổng này có thể gây ra tình trạng đầu độc bộ nhớ đệm nếu CDN không phân biệt đúng cách giữa RSC/HTML trong các khóa bộ nhớ đệm. Lỗ hổng này đã được khắc phục trong Next.js 15.3.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.