CVE-2026-64647
Təsvir
Next.js, full-stack veb tətbiqlər yaratmaq üçün nəzərdə tutulmuş bir React freymvorkudur. 12.0.0-dan 15.5.20-dək və 16.0.0-dan 16.2.10-dək olan versiyalarda, sorğu gövdəsi (request body) olan server tərəfli fetch əməliyyatı eyni URL-ə, lakin fərqli gövdə ilə göndərilmiş başqa bir sorğudan keşlənmiş cavab gövdəsini qaytara bilər. Bu zaman POST sorğusunun cavab gövdəsindəki konfidensial məlumatlar icazəsiz sorğulara sızdırıla bilər. Lakin sorğunun özü dublikat kimi götürülməyəcək (deduped). Bu problem yalnız UTF-8-dən fərqli kontent tipi simvol dəsti (charset) olan sorğu gövdələri qəbul edildikdə yaranır. Məsələn, sorğu gövdəsindəki 삃삃 və 섄섄 üçün UTF-16 bayt ardıcıllıqları eyni keşdən istifadə edəcəkdir. Bu problem 15.5.21 və 16.2.11 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- vercel next.js15.5.21, 16.2.11 və ya daha yeni versiya
- next15.5.21, 16.2.11 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vercel next.js | 13.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
| nextnpm | 13.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.