CVE-2026-44572

Resumen

Next.js es un framework de React para crear aplicaciones web full-stack. Desde la versión 12.2.0 hasta antes de la 15.5.16 y la 16.2.5, un cliente externo podía enviar una cabecera `x-nextjs-data` en una solicitud normal a una ruta gestionada por middleware que devuelve una redirección. Cuando esto ocurría, el middleware/proxy podía tratar la solicitud como una solicitud de datos y reemplazar la cabecera de redirección estándar `Location` por la cabecera interna `x-nextjs-redirect`. Los navegadores no siguen `x-nextjs-redirect`, por lo que la respuesta se convertía en una redirección inutilizable para los clientes normales. Si la aplicación estaba desplegada detrás de una CDN o proxy inverso que almacena en caché respuestas 3xx sin variar según esta cabecera, una única solicitud de un atacante podía envenenar la respuesta de redirección en caché para la ruta afectada. Los visitantes posteriores podían recibir una respuesta de redirección en caché sin cabecera `Location`, provocando una denegación de servicio para esa ruta de redirección hasta que la entrada de caché expirara o se purgara. Esta vulnerabilidad está corregida en las versiones 15.5.16 y 16.2.5.

• next-16.2.4-pocsPoC

  Colección de PoC de Seguridad para Next.js v16.2.4 (CVE-2026-23870, CVE-2026-44575, CVE-2026-44579, CVE-2026-44574, CVE-2026-44578, CVE-2026-44573, CVE-2026-44581, CVE-2026-44580, CVE-2026-44577, CVE-2026-44576, CVE-2026-44582, CVE-2026-44572)