PT-2026-39417
CVE-2026-44572
·
تاريخ النشر
2026-05-09
·
تاريخ التحديث
2026-09-28
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Next.js من 12.2.0 إلى 15.5.15
إصدارات Next.js من 16.0.0 إلى 16.2.4
الوصف
يمكن لعميل خارجي إرسال رأس
x-nextjs-data في طلب موجه إلى مسار تتولى معالجته البرمجيات الوسيطة التي تُرجع إعادة توجيه. يؤدي هذا إلى قيام البرمجيات الوسيطة أو الوكيل (proxy) بمعاملة الطلب كطلب بيانات واستبدال رأس إعادة التوجيه القياسي Location برأس x-nextjs-redirect الداخلي. ونظرًا لأن المتصفحات لا تتبع رأس x-nextjs-redirect، فإن الاستجابة تصبح إعادة توجيه غير قابلة للاستخدام. إذا تم نشر التطبيق خلف شبكة توزيع المحتوى (CDN) أو وكيل عكسي يقوم بتخزين استجابات 3xx مؤقتًا دون تغيير هذا الرأس، فإن طلبًا واحدًا يمكن أن يفسد استجابة إعادة التوجيه المخزنة مؤقتًا. وينتج عن ذلك حدوث حالة «رفض الخدمة» لمسار إعادة التوجيه هذا بالنسبة للزوار اللاحقين حتى تنتهي صلاحية إدخال ذاكرة التخزين المؤقت أو يتم مسحه.التوصيات
التحديث إلى الإصدار 15.5.16.
التحديث إلى الإصدار 16.2.5.
تكوين شبكة توزيع المحتوى (CDN) أو الوكيل العكسي لتغيير مفتاح ذاكرة التخزين المؤقت الخاص بـ
x-nextjs-data بالنسبة للاستجابات المتأثرة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾