CVE-2025-32421
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 14.2.24 ve 15.1.6 öncesindeki sürümler bir yarış durumu (race-condition) zafiyetine sahiptir. Bu sorun yalnızca belirli yanlış yapılandırmalar altındaki Pages Router'ı etkileyerek, normal uç noktaların standart HTML yerine `pageProps` verilerini sunmasına neden olur. Bu sorun, gelen isteklerden `x-now-route-matches` başlığının kaldırılmasıyla 15.1.6 ve 14.2.24 sürümlerinde düzeltilmiştir. Vercel platformunda barındırılan uygulamalar bu sorundan etkilenmemektedir; çünkü platform, açık `cache-control` başlıkları olmadan yanıtları yalnızca `200 OK` durumuna göre önbelleğe almaz. Next.js dağıtımlarını kendi sunucularında barındıran ve hemen yükseltme yapamayanlar, içerik dağıtım ağında tüm gelen isteklerden `x-now-route-matches` başlığını kaldırarak ve risk altındaki tüm yanıtlar için `cache-control: no-store` ayarını yaparak bu zafiyeti hafifletebilirler. Next.js geliştiricileri, yalnızca açık cache-control başlıklarına sahip yanıtların önbelleğe alınmasını şiddetle tavsiye etmektedir.
Nasıl düzeltilir
- vercel next.js14.2.24, 15.1.6 ya da sonraki bir sürüm
- next14.2.24, 15.1.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | v < 14.2.24, 15.0.0 ≤ v < 15.1.6 | 14.2.24, 15.1.6 |
| nextnpm | 0.9.9 ≤ v < 14.2.24, 15.0.0 ≤ v < 15.1.6 | 14.2.24, 15.1.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.