Next.js には、Vary ヘッダーの省略によるキャッシュポイズニングの脆弱性があります

この脆弱性は、攻撃者がNext.jsアプリケーションのキャッシュを悪用し、悪意のあるRSCペイロードをキャッシュに挿入することを可能にします。これにより、正規のHTMLコンテンツの代わりに、攻撃者が制御するコンテンツがユーザーに表示される可能性があります。攻撃者は、ユーザーをフィッシングサイトに誘導したり、悪意のあるスクリプトを実行したりする可能性があります。この脆弱性の影響範囲は、キャッシュされたコンテンツを利用するすべてのユーザーに及ぶ可能性があります。キャッシュの有効期限が長いほど、影響は拡大する可能性があります。

Organizations using Next.js App Router versions 15.3.0 through 15.3.2 are at risk. This includes developers building server-rendered React applications and those relying on Next.js's caching mechanisms for performance optimization. Applications with complex middleware configurations or extensive use of redirects are particularly vulnerable.

• nodejs / server: Inspect Next.js application logs for unusual caching patterns or errors related to RSC rendering.

 grep -i 'rsc' /path/to/nextjs/logs/app.log

• nodejs / server: Monitor application performance for unexpected delays or errors that could indicate malicious RSC payloads being served. • generic web: Check response headers for unexpected caching directives or unusual content-types. • generic web: Review application code for any custom middleware or redirect configurations that might be contributing to the vulnerability.

1. 2025-07-03Disclosure

   disclosure

1. 予約済み2025-05-29
2. 公開日2025-07-03
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Next.jsをバージョン15.3.3にアップグレードすることです。アップグレード後、アプリケーションを再デプロイして、新しいキャッシュ設定が適用されるようにしてください。アップグレードがアプリケーションの動作に影響を与える場合は、キャッシュの有効期限を短縮したり、キャッシュキーを調整したりするなど、一時的な回避策を検討してください。WAF（Web Application Firewall）を導入し、不正なRSCペイロードのキャッシュをブロックすることも有効です。