CVE-2025-32421

Résumé

Next.js est un framework React permettant de créer des applications web full-stack. Les versions antérieures à 14.2.24 et 15.1.6 présentent une vulnérabilité de type course (race condition). Ce problème n'affecte que le Pages Router dans certaines configurations erronées, entraînant la diffusion de données `pageProps` par les points de terminaison normaux au lieu du HTML standard. Ce problème a été corrigé dans les versions 15.1.6 et 14.2.24 en supprimant l'en-tête `x-now-route-matches` des requêtes entrantes. Les applications hébergées sur la plateforme Vercel ne sont pas affectées par ce problème, car la plateforme ne met pas en cache les réponses en se basant uniquement sur le statut `200 OK` sans en-têtes `cache-control` explicites. Ceux qui auto-hébergent des déploiements Next.js et ne peuvent pas mettre à niveau immédiatement peuvent atténuer cette vulnérabilité en supprimant l'en-tête `x-now-route-matches` de toutes les requêtes entrantes au niveau du réseau de diffusion de contenu et en définissant `cache-control: no-store` pour toutes les réponses à risque. Les mainteneurs de Next.js recommandent fortement de ne mettre en cache que les réponses avec des en-têtes cache-control explicites.

• CVE-2025-32421PoC

  Démonstration complète de la technique Eclipse CVE-2025-32421 - une attaque sophistiquée par condition de concurrence contre Next.js 15.0.4 qui contourne le correctif original de CVE-2024-46982.

• CVE-2025-32421---Race-Condition-Vulnerability---Next.js