PT-2025-27836 · Next.Js · Next.Js

Cold-Try · Publicado 2025-07-03 · Atualizado 2025-08-09 · CVE-2025-49826

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do Next.js de 15.0.4-canary.51 a 15.1.7

Descrição O Next.js está suscetível a um problema de envenenamento de cache que pode levar a uma condição de Negação de Serviço (DoS). Esta falha permite que atacantes manipulem o cache de respostas HTTP, potencialmente servindo respostas HTTP 204 em cache para páginas estáticas a todos os usuários, tornando as páginas inacessíveis. O problema impacta implantações auto-hospedadas, mas não afeta clientes hospedados na Vercel.

Recomendações Atualize para o Next.js versão 15.1.8 ou superior.

Exploit

Correção

DoS

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

BDU:2025-16414

CVE-2025-49826

GHSA-67RR-84XM-4C7R

Produtos afetados

Next.Js

Referências · 42

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/49xxx/CVE-2025-49826.json · Exploit
• https://github.com/vercel/next.js · Nota
• https://github.com/vercel/next.js/security/advisories/GHSA-67rr-84xm-4c7r · Aviso do Fabricante
• https://github.com/vercel/next.js/releases/tag/v15.1.8 · Nota
• https://github.com/vercel/next.js/commit/a15b974ed707d63ad4da5b74c1441f5b7b120e93 · Correção
• https://github.com/vercel/next.js/commit/16bfce64ef2157f2c1dfedcfdb7771bc63103fd2 · Nota
• https://twitter.com/CVEnew/status/1940886379392794758 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1lvexd0/top_10_trending_cves_09072025 · Publicação no Reddit
• https://t.me/netlas/429 · Publicação no Telegram
• https://vercel.com/changelog/cve-2025-49826 · Aviso do Fabricante
• https://twitter.com/whithat444/status/1941164388423176382 · Publicação no Twitter
• https://twitter.com/CCBalert/status/1941113501784723520 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-16414 · Nota de Segurança
• https://twitter.com/dailycve/status/1941456176388112446 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-49826 · Aviso do Fabricante