CVE-2026-44572

Next.js full-stack veb tətbiqlərinin qurulması üçün nəzərdə tutulmuş bir React freymvorkudur. 12.2.0 versiyasından 15.5.16 və 16.2.5 versiyalarına qədər olan dövrdə, xarici müştəri yönləndirmə (redirect) qaytaran middleware tərəfindən idarə olunan yola adi sorğu göndərərkən x-nextjs-data başlığını əlavə edə bilirdi. Bu baş verdikdə, middleware/proksi sorğunu məlumat sorğusu kimi qəbul edib standart Location yönləndirmə başlığını daxili x-nextjs-redirect başlığı ilə əvəz edə bilirdi. Brauzerlər x-nextjs-redirect başlığını izləmədiyi üçün cavab adi müştərilər üçün istifadə edilə bilməyən yönləndirməyə çevrilirdi. Əgər tətbiq bu başlığa görə fərqləndirmə aparmadan 3xx cavablarını keşləyən bir CDN və ya reverse proksi arxasında yerləşdirildisə, hücumçunun tək bir sorğusu təsirlənmiş yol üçün keşlənmiş yönləndirmə cavabını zəhərləyə bilərdi. Nəticədə sonrakı ziyarətçilər Location başlığı olmayan keşlənmiş yönləndirmə cavabı ala bilərdilər ki, bu da keş girişi vaxtı bitənə və ya təmizlənənə qədər həmin yönləndirmə yolu üçün xidmətdən imtinaya səbəb olurdu. Bu boşluq 15.5.16 və 16.2.5 versiyalarında düzəldilmişdir.