CVE-2025-59472
Açıklama
Minimal modda çalışan ve Partial Prerendering (PPR) özelliği etkinleştirilmiş Next.js sürümlerinde bir hizmet reddi zafiyeti bulunmaktadır. PPR resume uç noktası, `Next-Resume: 1` üst bilgisine sahip kimlik doğrulaması yapılmamış POST isteklerini kabul eder ve saldırgan tarafından kontrol edilen ertelenmiş durum verilerini işler. Birbiriyle yakından ilişkili iki zafiyet, bir saldırganın bellek tüketimi yoluyla sunucu işlemini çökertmesine olanak tanır: 1. **Sınırsız istek gövdesi tamponlama**: Sunucu, herhangi bir boyut sınırı uygulamadan tüm POST istek gövdesini `Buffer.concat()` kullanarak belleğe tamponlar; bu da rastgele büyüklükteki yüklerin mevcut belleği tüketmesine izin verir. 2. **Sınırsız sıkıştırmayı açma (zipbomb)**: Resume veri önbelleği, sıkıştırılmış çıktı boyutu sınırlandırılmadan `inflateSync()` kullanılarak açılır. Küçük bir sıkıştırılmış yük, yüzlerce megabayt veya gigabayta genişleyerek bellek tüketimine neden olabilir. Her iki saldırı vektörü de, Node.js işleminin sonlanmasına neden olan kritik bir V8 bellek yetersizliği hatasıyla (`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`) sonuçlanır. Zipbomb varyantı, ters proxy istek boyutu sınırlarını atlatırken sunucuda hala büyük bellek tahsisine neden olabildiği için özellikle tehlikelidir. Etkilenmek için uygulamanızın `experimental.ppr: true` veya `cacheComponents: true` yapılandırmasıyla birlikte NEXT_PRIVATE_MINIMAL_MODE=1 ortam değişkeni ile çalışıyor olması gerekir. Riski azaltmak ve Next uygulamalarında erişilebilirlik sorunlarını önlemek için 15.6.0-canary.61 veya 16.1.5 sürümüne yükseltmeniz önemle tavsiye edilir.
Nasıl düzeltilir
- vercel next.js15.6.0, 16.1.5 ya da sonraki bir sürüm
- next16.1.5, 15.6.0-canary.61 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 15.0.0 ≤ v < 15.6.0, 16.0.0 ≤ v < 16.1.5, 15.6.0 | 15.6.0, 16.1.5 |
| nextnpm | 16.0.0-beta.0 ≤ v < 16.1.5, 15.0.0-canary.0 ≤ v ≤ 15.0.0-canary.205, 15.0.1-canary.0 ≤ v ≤ 15.0.1-canary.3, 15.0.2-canary.0 ≤ v ≤ 15.0.2-canary.11, 15.0.3-canary.0 ≤ v ≤ 15.0.3-canary.9, 15.0.4-canary.0 ≤ v ≤ 15.0.4-canary.52, 15.1.1-canary.0 ≤ v ≤ 15.1.1-canary.27, 15.2.0-canary.0 ≤ v ≤ 15.2.0-canary.77, 15.2.1-canary.0 ≤ v ≤ 15.2.1-canary.6, 15.2.2-canary.0 ≤ v ≤ 15.2.2-canary.7, 15.3.0-canary.0 ≤ v ≤ 15.3.0-canary.46, 15.3.1-canary.0 ≤ v ≤ 15.3.1-canary.15, 15.4.0-canary.0 ≤ v ≤ 15.4.0-canary.130, 15.4.2-canary.0 ≤ v ≤ 15.4.2-canary.56, 15.5.1-canary.0 ≤ v ≤ 15.5.1-canary.39, 15.6.0-canary.0 ≤ v < 15.6.0-canary.61 | 16.1.5, 15.6.0-canary.61 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.