CVE-2026-44572

Nome do Software Vulnerável e Versões Afetadas Next.js versões 12.2.0 até 15.5.15 Next.js versões 16.0.0 até 16.2.4

Descrição Um cliente externo pode enviar um cabeçalho x-nextjs-data em uma requisição para um caminho gerenciado por um middleware que retorna um redirecionamento. Isso faz com que o middleware ou proxy trate a requisição como uma solicitação de dados e substitua o cabeçalho de redirecionamento Location padrão pelo cabeçalho interno x-nextjs-redirect. Como os navegadores não seguem o x-nextjs-redirect, a resposta torna-se um redirecionamento inutilizável. Se a aplicação estiver implantada atrás de um CDN ou proxy reverso que armazena em cache respostas 3xx sem variar com base nesse cabeçalho, uma única requisição pode envenenar a resposta de redirecionamento em cache. Isso resulta em uma negação de serviço para esse caminho de redirecionamento para visitantes subsequentes até que a entrada do cache expire ou seja expurgada.

Recomendações Atualize para a versão 15.5.16. Atualize para a versão 16.2.5. Configure o CDN ou proxy reverso para variar sua chave de cache no x-nextjs-data para as respostas afetadas.