Next.js 存在 Vary 头缺失导致的缓存中毒 (Cache poisoning) 漏洞

该缓存中毒漏洞允许攻击者通过精心构造的中间件和重定向规则，将恶意RSC负载注入到缓存中。当用户访问受影响的页面时，他们可能会收到攻击者控制的RSC内容，而不是预期的HTML内容。这可能导致跨站脚本攻击（XSS）、信息泄露或其他恶意行为。攻击者可以利用此漏洞篡改网站内容，诱骗用户执行恶意操作，或窃取敏感信息。虽然CVSS评分为低危，但该漏洞的潜在影响不容忽视，尤其是在高流量网站或应用程序中。

Organizations using Next.js App Router versions 15.3.0 through 15.3.2 are at risk. This includes developers building server-rendered React applications and those relying on Next.js's caching mechanisms for performance optimization. Applications with complex middleware configurations or extensive use of redirects are particularly vulnerable.

• nodejs / server: Inspect Next.js application logs for unusual caching patterns or errors related to RSC rendering.

 grep -i 'rsc' /path/to/nextjs/logs/app.log

• nodejs / server: Monitor application performance for unexpected delays or errors that could indicate malicious RSC payloads being served. • generic web: Check response headers for unexpected caching directives or unusual content-types. • generic web: Review application code for any custom middleware or redirect configurations that might be contributing to the vulnerability.

1. 2025-07-03Disclosure

   disclosure

1. 已保留2025-05-29
2. 发布日期2025-07-03
3. 修改日期2026-02-04
4. EPSS 更新日期2026-03-23

解决CVE-2025-49005的最佳方法是立即升级到Next.js 15.3.3或更高版本。升级后，务必重新部署应用程序，以确保缓存行为恢复正常。如果升级过程导致应用程序出现问题，可以考虑回滚到之前的稳定版本，并同时审查中间件和重定向配置，确保其安全性。此外，可以考虑使用Web应用防火墙（WAF）或反向代理来过滤恶意请求，并实施严格的缓存控制策略，以减少缓存中毒的风险。升级后，请验证缓存行为是否正常，例如通过清除浏览器缓存并重新访问受影响的页面。