CVE-2026-27979

Next.js, full-stack veb tətbiqlər yaratmaq üçün nəzərdə tutulmuş React freymvorkudur. Versiya 16.0.1-dən başlayaraq və versiya 16.1.7-yə qədər olan versiyalarda, `next-resume: 1` başlığı (PPR bərpa sorğusuna uyğun gələn) olan sorğu, müəyyən konfiqurasiyalarda `maxPostponedStateSize` parametrini ardıcıl şəkildə tətbiq etmədən sorğu gövdələrini buferləşdirirdi. Əvvəlki tədbirlər minimal rejimdəki (minimal-mode) yerləşdirmələri qoruyurdu, lakin ekvivalent olmayan minimal yerləşdirmələr eyni məhdudiyyətsiz təxirə salınmış bərpa gövdəsinin buferlənməsi davranışına qarşı həssas qalmışdı. Partial Prerendering imkanı aktiv edilmiş (`experimental.ppr` və ya `cacheComponents` vasitəsilə) App Router istifadə edən tətbiqlərdə hücumçu, olmayan minimal yerləşdirmələrdə ölçü məhdudiyyətləri ardıcıl tətbiq edilmədən buferlənən həddindən artıq böyük `next-resume` POST yükləri göndərə bilərdi ki, bu da yaddaşın həddindən artıq istifadəsini və potensial olaraq xidmətdən imtina (DoS) halını törədə bilərdi. Bu problem, bütün təxirə salınmış gövdənin buferlənməsi yolları üzrə ölçü limitlərinin tətbiqi və limitlər aşıldıqda xəta verməklə versiya 16.1.7-də düzəldilmişdir. Təkmilləşdirmə dərhal mümkün deyilsə, `next-resume` başlığı olan sorğuları bloklayın, çünki bu başlığın etibarsız kliyent tərəfindən göndərilməsi heç vaxt düzgün deyil.