Next.js में 'Vary' हेडर के अभाव के कारण Cache poisoning (कैश पॉइज़निंग) भेद्यता है

इस भेद्यता का फायदा उठाकर, एक हमलावर RSC पेलोड को कैश करने और उसे HTML के स्थान पर परोसने के लिए Next.js App Router को प्रभावित कर सकता है। यह तब हो सकता है जब मिडलवेयर या रीडायरेक्ट का उपयोग किया जा रहा हो, और RSC पेलोड को गलत तरीके से कैश किया जा रहा हो। इससे उपयोगकर्ताओं को गलत या दूषित सामग्री दिखाई दे सकती है, या एप्लिकेशन पूरी तरह से काम करना बंद कर सकता है। इस भेद्यता का प्रभाव एप्लिकेशन की जटिलता और उपयोग के तरीके पर निर्भर करता है। यह विशेष रूप से उन अनुप्रयोगों के लिए चिंताजनक है जो संवेदनशील जानकारी प्रदर्शित करते हैं या उपयोगकर्ताओं को महत्वपूर्ण कार्य करने की अनुमति देते हैं।

Organizations using Next.js App Router versions 15.3.0 through 15.3.2 are at risk. This includes developers building server-rendered React applications and those relying on Next.js's caching mechanisms for performance optimization. Applications with complex middleware configurations or extensive use of redirects are particularly vulnerable.

• nodejs / server: Inspect Next.js application logs for unusual caching patterns or errors related to RSC rendering.

 grep -i 'rsc' /path/to/nextjs/logs/app.log

• nodejs / server: Monitor application performance for unexpected delays or errors that could indicate malicious RSC payloads being served. • generic web: Check response headers for unexpected caching directives or unusual content-types. • generic web: Review application code for any custom middleware or redirect configurations that might be contributing to the vulnerability.

1. 2025-07-03Disclosure

   disclosure

1. आरक्षित2025-05-29
2. प्रकाशित2025-07-03
3. संशोधित2026-02-04
4. EPSS अद्यतन2026-03-23

CVE-2025-49005 को कम करने के लिए, Next.js के संस्करण 15.3.3 में तुरंत अपग्रेड करना आवश्यक है। अपग्रेड के बाद, सुनिश्चित करें कि एप्लिकेशन को ठीक से रीडेप्लॉय किया गया है ताकि कैशिंग व्यवहार सही हो। यदि अपग्रेड करना संभव नहीं है, तो मिडलवेयर और रीडायरेक्ट के उपयोग को सीमित करने पर विचार करें, और सुनिश्चित करें कि RSC पेलोड को सही तरीके से कैश नहीं किया जा रहा है। इसके अतिरिक्त, एप्लिकेशन के कैशिंग व्यवहार की निगरानी करें और किसी भी असामान्य गतिविधि के लिए सतर्क रहें। अपग्रेड के बाद, कैशिंग व्यवहार को सत्यापित करें ताकि यह सुनिश्चित हो सके कि RSC पेलोड सही ढंग से परोसे जा रहे हैं।

अंतिम अपडेट

16.2.6हाल ही में