CVE-2026-100409

Nome do Software Vulnerável e Versões Afetadas OpenNext Cloudflare versões 0.3.0 até 1.20.1

Description Aplicações que habilitam enableCacheInterception e dependem de middleware para controle de acesso estão sujeitas ao processamento inconsistente de caminhos codificados entre a correspondência do middleware e a pesquisa no cache. Um invasor não autenticado pode usar um caminho codificado em percentual que ignora o middleware de autorização, mas que é decodificado para a chave de cache de uma rota protegida, resultando na recuperação não autorizada de conteúdo em cache. Além disso, codificações malformadas podem ser parcialmente decodificadas, permitindo que a pesquisa no cache continue com um caminho que o middleware não avaliou de forma consistente.

Recommendations Atualize para a versão 1.20.2 ou posterior. Desative a interceptação de cache removendo enableCacheInterception: true. Aplique a autorização dentro dos manipuladores de rota protegidos em vez de confiar exclusivamente no middleware. Rejeite caminhos codificados para rotas protegidas em um proxy confiável antes que eles cheguem ao Worker.