CVE-2025-32421

요약

Next.js는 풀스택 웹 애플리케이션을 구축하기 위한 React 프레임워크입니다. 14.2.24 및 15.1.6 이전 버전에는 경쟁 조건(race-condition) 취약점이 있습니다. 이 문제는 특정 잘못된 구성 하에서 Pages Router에만 영향을 미치며, 일반 엔드포인트가 표준 HTML 대신 `pageProps` 데이터를 제공하게 만듭니다. 이 문제는 15.1.6 및 14.2.24 버전에서 수신 요청의 `x-now-route-matches` 헤더를 제거하여 패치되었습니다. Vercel 플랫폼에서 호스팅되는 애플리케이션은 플랫폼이 명시적인 `cache-control` 헤더 없이 `200 OK` 상태만으로 응답을 캐시하지 않으므로 이 문제의 영향을 받지 않습니다. Next.js 배포를 자체 호스팅하고 즉시 업그레이드할 수 없는 사용자는 콘텐츠 전송 네트워크에서 모든 수신 요청의 `x-now-route-matches` 헤더를 제거하고 위험에 노출된 모든 응답에 `cache-control: no-store`를 설정하여 이 취약점을 완화할 수 있습니다. Next.js 유지관리자들은 명시적인 cache-control 헤더가 있는 응답만 캐시할 것을 강력히 권장합니다.

• CVE-2025-32421PoC

  CVE-2025-32421 Eclipse 기법에 대한 포괄적인 실연 - Next.js 15.0.4에 대한 정교한 경쟁 조건 공격으로, 원래의 CVE-2024-46982 패치를 우회합니다.

• CVE-2025-32421---Race-Condition-Vulnerability---Next.jsPoC

  PoC Lab for CVE-2025-32421 – Next.js 경쟁 조건 캐시 오염 시뮬레이션