CVE-2026-100409
Publiée le 2026-10-15 · Dernière modification le 2026-10-16
Les versions 0.3.0 à 1.20.2 d'OpenNext Cloudflare sont concernées. Cet outil sert d'adaptateur pour exécuter des applications Next.js sur la plateforme Cloudflare. La faille survient lorsque l'interception du cache est activée et qu'un middleware est utilisé pour le contrôle d'accès, car le système traite les URL avec encodage en pourcentage de manière incohérente entre la vérification d'autorisation et la recherche dans le cache.
Un attaquant non authentifié disposant d'un accès réseau peut contourner les contrôles de sécurité pour consulter du contenu mis en cache provenant de routes protégées. En envoyant une requête spécifiquement encodée, il peut tromper le système pour qu'il serve des données privées sans nécessiter de connexion ni d'interaction de l'utilisateur. Cela compromet directement la confidentialité des données mises en cache, bien que cela ne permette ni la modification de données ni l'interruption du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenNext Cloudflare is an open Next.js adapter for Cloudflare. From 0.3.0 until 1.20.2, applications that enable enableCacheInterception, rely on middleware for access control, and have a matching cached protected route process encoded pathnames inconsistently between middleware matching and cache lookup. An unauthenticated attacker can use a percent-encoded pathname that does not match authorization middleware but decodes to the cache key of a protected route, causing cached content to be returned without authorization. Malformed encodings can also be partially decoded, allowing cache lookup to continue with a pathname that middleware did not evaluate consistently. This issue is fixed in version 1.20.2.