CVE-2026-64647
Açıklama
Next.js, tam yığınlı (full-stack) web uygulamaları oluşturmak için kullanılan bir React çerçevesidir. 12.0.0 ile 15.5.20 ve 16.0.0 ile 16.2.10 arasındaki sürümlerde, istek gövdesi içeren sunucu tarafı fetch işlemi, aynı URL'ye ancak farklı bir gövdeyle yapılan başka bir isteğin önbelleğe alınmış yanıt gövdesini döndürebilir. Bu durum, POST yanıt gövdesindeki gizli verilerin yetkisiz isteklere sızmasına neden olur. İsteklerin kendisi tekilleştirilmez (dedupe). Bu sorun yalnızca UTF-8 dışındaki bir içerik tipi karakter setine sahip istek gövdeleri alındığında ortaya çıkar. Örneğin, istek gövdesindeki 삃삃 ve 섄섄 için olan UTF-16 bayt dizileri aynı önbelleği paylaşır. Bu sorun 15.5.21 ve 16.2.11 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- vercel next.js15.5.21, 16.2.11 ya da sonraki bir sürüm
- next15.5.21, 16.2.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vercel next.js | 13.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
| nextnpm | 13.0.0 ≤ v < 15.5.21, 16.0.0 ≤ v < 16.2.11 | 15.5.21, 16.2.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.