CVE-2026-29057

Next.js, full-stack veb tətbiqlər yaratmaq üçün nəzərdə tutulmuş bir React freymvorkudur. Versiya 9.5.0-dan başlayaraq və 15.5.13 və 16.1.7 versiyalarından əvvəlki versiyalarda, Next.js proksi trafikini xarici backend-ə yönləndirdikdə (rewrite), `Transfer-Encoding: chunked` istifadə edən xüsusi hazırlanmış `DELETE`/`OPTIONS` sorğusu proksi və backend arasında sorğu sərhədinin uyğunsuzluğuna səbəb ola bilər. Bu, yenidən yazılmış marşrutlar vasitəsilə sorğu qaçaqçılığına (request smuggling) yol aça bilər. Hücumçu, yalnız konfiqurasiya edilmiş yönləndirmə təyinatının/yolunun əlçatan olduğu fərziyyələrini yan keçərək, ikinci bir sorğunu gözlənilməyən backend marşrutlarına (məsələn, daxili/admin son nöqtələrinə) göndərə bilər. Bu, Vercel kimi yönləndirmələri CDN səviyyəsində idarə edən provayderlərdə yerləşən tətbiqlərə təsir etmir. Zəiflik Next.js tərəfindən istifadə edilən yuxarı axın kitabxanasında yaranıb. Problem Next.js 15.5.13 və 16.1.7 versiyalarında həmin asılılığın davranışı yenilənməklə aradan qaldırılıb; belə ki, `content-length: 0` yalnız həm `content-length`, həm də `transfer-encoding` olmadıqda əlavə edilir və həmin kod yolunda `transfer-encoding` artıq silinmir. Əgər dərhal yeniləmə mümkün deyilsə, kənar şəbəkədə (edge)/proksidə yenidən yazılmış marşrutlarda chunked `DELETE`/`OPTIONS` sorğularını bloklayın və/və ya backend marşrutlarında autentifikasiya/avtorizasiyanı məcburi edin.