CVE-2025-32421

Resumo

# Next.js O Next.js é um framework React para a criação de aplicações web full-stack. As versões anteriores a 14.2.24 e 15.1.6 apresentam uma vulnerabilidade de condição de corrida (race condition). Este problema afeta apenas o Pages Router sob determinadas configurações incorretas, fazendo com que endpoints normais sirvam dados de `pageProps` em vez de HTML padrão. Este problema foi corrigido nas versões 15.1.6 e 14.2.24, removendo o cabeçalho `x-now-route-matches` das requisições recebidas. As aplicações hospedadas na plataforma da Vercel não são afetadas por este problema, uma vez que a plataforma não armazena respostas em cache com base apenas no status `200 OK` sem cabeçalhos `cache-control` explícitos. Aqueles que fazem self-hosting de implantações do Next.js e não conseguem atualizar imediatamente podem mitigar esta vulnerabilidade removendo o cabeçalho `x-now-route-matches` de todas as requisições recebidas na rede de distribuição de conteúdo e definindo `cache-control: no-store` para todas as respostas em risco. Os mantenedores do Next.js recomendam fortemente armazenar em cache apenas respostas com cabeçalhos cache-control explícitos.

• CVE-2025-32421PoC

  Demonstração abrangente da técnica Eclipse CVE-2025-32421 - um ataque sofisticado de condição de corrida contra o Next.js 15.0.4 que contorna o patch original do CVE-2024-46982.

• CVE-2025-32421---Race-Condition-Vulnerability---Next.jsPoC