CVE-2026-29057

概要

Next.jsは、フルスタックのWebアプリケーションを構築するためのReactフレームワークです。バージョン9.5.0以降、15.5.13および16.1.7より前のバージョンにおいて、Next.jsがリライトされたプロキシトラフィックを外部バックエンドに転送する際、`Transfer-Encoding: chunked`を使用した巧妙に細工された`DELETE`/`OPTIONS`リクエストが、プロキシとバックエンド間のリクエスト境界の不一致を引き起こす可能性があります。これにより、リライトされたルートを介したリクエストスマグリングが発生する可能性があります。攻撃者は、意図しないバックエンドルート（例えば、内部/管理エンドポイント）に2番目のリクエストをスマグリングし、設定されたリライト先/パスのみが到達可能であるという前提を回避できる可能性があります。これは、Vercelなど、CDNレベルでリライトを処理するプロバイダーでホストされているアプリケーションには影響しません。この脆弱性は、Next.jsがベンダリングしている上流ライブラリに起因します。これは、Next.js 15.5.13および16.1.7で、その依存関係の動作を更新し、`content-length`と`transfer-encoding`の両方が存在しない場合にのみ`content-length: 0`が追加され、そのコードパスで`transfer-encoding`が削除されないようにすることで修正されています。直ちにアップグレードできない場合は、エッジ/プロキシでリライトされたルートへのチャンク化された`DELETE`/`OPTIONS`リクエストをブロックし、および/またはバックエンドルートで認証/認可を強制してください。

• Next.js-Proof-of-ConceptPoC

  Next.js の CVE-2025-29927、CVE-2026-27978、CVE-2026-29057 に関するいくつかの Proof-of-Concept（PoC）

• CVE-2026-29057-POCPoC

  CVE-2026-29057 Next.jsリクエストスマグリングを再現するDockerベースのラボ。脆弱な15.5.12と修正済み15.5.13を、生のチャンク転送HTTPペイロードで比較します。