CVE-2025-32421

Riepilogo

Next.js è un framework React per la creazione di applicazioni web full-stack. Le versioni precedenti alla 14.2.24 e alla 15.1.6 presentano una vulnerabilità di tipo race condition. Questo problema riguarda esclusivamente il Pages Router in determinate configurazioni errate, causando la restituzione dei dati di `pageProps` al posto del normale HTML per gli endpoint standard. Il problema è stato corretto nelle versioni 15.1.6 e 14.2.24 rimuovendo l'header `x-now-route-matches` dalle richieste in ingresso. Le applicazioni ospitate sulla piattaforma Vercel non sono interessate da questo problema, poiché la piattaforma non memorizza nella cache le risposte basandosi esclusivamente sullo stato `200 OK` senza header `cache-control` espliciti. Coloro che gestiscono deployment Next.js in self-hosting e non possono aggiornare immediatamente possono mitigare questa vulnerabilità rimuovendo l'header `x-now-route-matches` da tutte le richieste in ingresso a livello di content delivery network e impostando `cache-control: no-store` per tutte le risposte a rischio. I manutentori di Next.js raccomandano vivamente di memorizzare nella cache solo le risposte con header cache-control espliciti.

• CVE-2025-32421PoC

  Dimostrazione completa della tecnica Eclipse CVE-2025-32421 - un sofisticato attacco di race condition contro Next.js 15.0.4 che aggira la patch originale di CVE-2024-46982.

• CVE-2025-32421---Race-Condition-Vulnerability---Next.js