Vulnerabilitatea Next.js Cache Poisoning permite atacuri DoS

O vulnerabilitate de securitate, CVE-2025-49826, a fost identificată în Next.js, popularul framework web bazat pe React, permițând atacatorilor să exploateze mecanismele cache poisoning pentru a declanșa atacuri de tip Denial of Service (DoS).

Vulnerabilitatea afectează versiunile Next.js cuprinse între 15.1.0 și 15.1.8, necesitând actualizări de securitate imediate.

Vulnerabilitatea provine dintr-o eroare de tip cache poisoning ce manipulează mecanismul de cache al răspunsurilor framework-ului, vizând în special răspunsurile HTTP 204 în redarea paginilor statice.

În anumite condiții, vulnerabilitatea permite atacatorilor să încarce memoria cache cu răspunsuri goale, determinând utilizatorii legitimi să primească pagini goale în loc de conținutul adecvat.

Vectorul de atac exploatează o eroare de tip race condition în mecanismul Next.js shared response object, în care framework-ul procesează și stochează incorect statusul codurilor HTTP 204.

Atunci când este executată cu succes, această tehnică de tip cache poisoning duce la atacuri de tip denial of service (DoS) persistente, deoarece răspunsul gol din cache este furnizat tuturor utilizatorilor ce încearcă să acceseze paginile statice afectate.

Remedierea principală a implicat eliminarea rutei de cod problematice responsabile pentru setarea incorectă a răspunsurilor 204 în pipeline-ul de redare a paginilor statice.

În plus, dezvoltatorii au eliminat eroarea race condition prin restructurarea arhitecturii de stocare în cache a răspunsurilor pentru a nu se mai baza pe funcția shared response objects pentru popularea cache-ului de răspuns Next.js.

Specialiștii în securitate recomandă migrarea imediată la versiunea Next.js 15.1.8 sau ulterioară, care include soluția de remediere completă pentru CVE-2025-49826.

Sursă: https://cybersecuritynews.com/next-js-cache-poisoning-vulnerability/