CVE-2026-64648
Publiée le 2026-07-27 · Dernière modification le 2026-10-24
Les applications web conçues avec Next.js (versions 12.0.0–15.5.20 et 16.0.0–16.2.10) peuvent mettre incorrectement en cache les réponses aux requêtes fetch côté serveur utilisant un corps de requête. Un attaquant pourrait potentiellement recevoir des données confidentielles mises en cache appartenant à un autre utilisateur s'il parvient à inciter cet utilisateur à interagir avec une requête spécifique. Cela nécessite un accès réseau et l'interaction de l'utilisateur, mais aucun privilège d'authentification particulier.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Next.js is a React framework for building full-stack web applications. In versions 12.0.0 through 15.5.20 and 16.0.0 through 16.2.10, a server-side fetch with a request body may return a cached response body from a different request to the same URL but different body. Confidential data in the POST's response body would then leak to unauthorized requests. Though the request itself will not be deduped. This only applies to fetch calls with a request that has a different init than the one passed to fetch. A safe request would be: fetch(new Request(init), init). An unsafe request would be: fetch(new Request(init), aDifferentInit). This issue has been fixed in versions 15.5.21 and 16.2.11.