CVE-2026-29057

Riepilogo

Next.js è un framework React per la creazione di applicazioni web full-stack. A partire dalla versione 9.5.0 e fino alle versioni 15.5.13 e 16.1.7, quando Next.js inoltra il traffico proxy a un backend esterno, una richiesta `DELETE`/`OPTIONS` appositamente costruita che utilizza `Transfer-Encoding: chunked` potrebbe causare una discrepanza di delimitazione della richiesta tra il proxy e il backend. Ciò potrebbe consentire lo smuggling di richieste attraverso le route riscritte. Un attaccante potrebbe introdurre di nascosto una seconda richiesta verso route backend non intenzionali (ad esempio, endpoint interni/admin), aggirando il presupposto che solo la destinazione/percorso di riscrittura configurato sia raggiungibile. Questo non ha impatto sulle applicazioni ospitate su provider che gestiscono le riscritture a livello di CDN, come Vercel. La vulnerabilità ha avuto origine in una libreria upstream inclusa in Next.js. È stata corretta in Next.js 15.5.13 e 16.1.7 aggiornando il comportamento di quella dipendenza, così che `content-length: 0` venga aggiunto solo quando sia `content-length` che `transfer-encoding` sono assenti, e `transfer-encoding` non venga più rimosso in quel percorso di codice. Se l'aggiornamento non è immediatamente possibile, blocca le richieste `DELETE`/`OPTIONS` con codifica chunked sulle route riscritte a livello di edge/proxy e/o imponi l'autenticazione/autorizzazione sulle route backend.

• Next.js-Proof-of-ConceptPoC

  Alcuni Proof-of-Concept (POCs) per CVE-2025-29927, CVE-2026-27978 e CVE-2026-29057 in Next.js.

• CVE-2026-29057-POC