CVE-2025-32421

Resumen

Next.js es un framework de React para crear aplicaciones web full-stack. Las versiones anteriores a la 14.2.24 y la 15.1.6 presentan una vulnerabilidad de condición de ejecución. Este problema solo afecta a Pages Router con ciertas configuraciones incorrectas, lo que provoca que los endpoints normales muestren datos `pageProps` en lugar de HTML estándar. Este problema se solucionó en las versiones 15.1.6 y 14.2.24 eliminando el encabezado `x-now-route-matches` de las solicitudes entrantes. Las aplicaciones alojadas en la plataforma Vercel no se ven afectadas, ya que la plataforma no almacena en caché las respuestas basándose únicamente en el estado `200 OK` sin encabezados `cache-control` explícitos. Quienes alojan implementaciones de Next.js en sus propias instalaciones y no pueden actualizar inmediatamente pueden mitigar esta vulnerabilidad eliminando el encabezado `x-now-route-matches` de todas las solicitudes entrantes en la red de desarrollo de contenido y configurando `cache-control: no-store` para todas las respuestas en riesgo. Los mantenedores de Next.js recomiendan encarecidamente almacenar en caché únicamente las respuestas con encabezados de control de caché explícitos.

• CVE-2025-32421PoC

  Demostración exhaustiva de la técnica Eclipse CVE-2025-32421: un sofisticado ataque de condición de carrera contra Next.js 15.0.4 que evita el parche original de CVE-2024-46982.

• CVE-2025-32421---Race-Condition-Vulnerability---Next.js