Next.js possui uma vulnerabilidade de envenenamento de cache devido à omissão do cabeçalho Vary

A principal consequência desta vulnerabilidade é a exibição incorreta de conteúdo para os usuários. Um atacante poderia manipular o cache, injetando payloads RSC maliciosos que seriam servidos em vez do HTML legítimo. Isso pode levar a diversas situações, como a exibição de informações falsas, redirecionamentos para sites maliciosos ou até mesmo a execução de código JavaScript não intencional no navegador do usuário. O impacto é limitado à exibição de conteúdo, sem acesso direto a dados sensíveis ou sistemas internos, mas pode prejudicar a reputação e a confiança dos usuários na aplicação.

Organizations using Next.js App Router versions 15.3.0 through 15.3.2 are at risk. This includes developers building server-rendered React applications and those relying on Next.js's caching mechanisms for performance optimization. Applications with complex middleware configurations or extensive use of redirects are particularly vulnerable.

• nodejs / server: Inspect Next.js application logs for unusual caching patterns or errors related to RSC rendering.

 grep -i 'rsc' /path/to/nextjs/logs/app.log

• nodejs / server: Monitor application performance for unexpected delays or errors that could indicate malicious RSC payloads being served. • generic web: Check response headers for unexpected caching directives or unusual content-types. • generic web: Review application code for any custom middleware or redirect configurations that might be contributing to the vulnerability.

1. 2025-07-03Disclosure

   disclosure

1. Reservado2025-05-29
2. Publicada2025-07-03
3. Modificada2026-02-04
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização imediata para o Next.js versão 15.3.3. Após a atualização, é crucial realizar uma reimplantação da aplicação para garantir que o cache seja limpo e que as novas configurações de caching sejam aplicadas corretamente. Em ambientes onde a atualização imediata não é possível, considere a implementação de regras em um Web Application Firewall (WAF) ou proxy reverso para filtrar payloads RSC suspeitos. Verifique, após a atualização e reimplantação, se o comportamento do cache está correto, inspecionando as respostas HTTP e o conteúdo exibido.

Última atualização

16.2.6recentemente