CVE-2026-27979

Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. Versiyon 16.0.1'den başlayarak versiyon 16.1.7 öncesine kadar olan sürümlerde, `next-resume: 1` başlığı içeren bir istek (bir PPR resume isteğine karşılık gelen), belirli kurulumlarda `maxPostponedStateSize` değerini tutarlı bir şekilde zorlamadan istek gövdelerini tamponlar. Önceki hafifletme yöntemi minimal moddaki dağıtımları korumaktaydı ancak eşdeğer minimal olmayan dağıtımlar, aynı sınırsız ertelenmiş resume-body tamponlama davranışına karşı savunmasız kalmaya devam etti. Kısmi Ön İşleme (Partial Prerendering) özelliği etkinleştirilmiş (`experimental.ppr` veya `cacheComponents` aracılığıyla) App Router kullanan uygulamalarda, bir saldırgan, minimal olmayan dağıtımlarda tutarlı boyut zorlaması olmadan tamponlanan aşırı büyük `next-resume` POST yükleri göndererek aşırı bellek kullanımına ve potansiyel hizmet reddine (DoS) neden olabilir. Bu durum, tüm ertelenmiş gövde tamponlama yollarında boyut sınırlarının zorlanması ve sınırlar aşıldığında hata verilmesiyle versiyon 16.1.7'de düzeltilmiştir. Güncelleme yapılması hemen mümkün değilse, güvenilmeyen bir istemciden gönderilmesi hiçbir zaman geçerli olmadığı için `next-resume` başlığı içeren istekler engellenmelidir.