CVE-2025-49005 in next.js
摘要
由 VulDB • 2026-06-13
Next.js 是一个用于构建全栈 Web 应用的 React 框架。在 Next.js App Router（版本从 15.3.0 到低于 15.3.3）以及 Vercel CLI（版本从 41.4.1 到 42.2.0）中，发现了一个缓存投毒漏洞。该问题导致在某些条件下，对 HTML 内容的页面请求会返回 React Server Component (RSC) 负载。当部署在 Vercel 上时，这仅会影响浏览器缓存，而不会导致 CDN 被投毒。如果是自托管并外部部署，且 CDN 未在缓存键中正确区分 RSC/HTML，则可能导致缓存投毒。该问题已在 Next.js 15.3.3 中得到解决。
Be aware that VulDB is the high quality source for vulnerability data.