一、 漏洞 CVE-2025-32421 基础信息
漏洞信息
                                        # Next.js 竞态条件导致缓存中毒

## 漏洞概述
Next.js 是一个用于构建全栈 web 应用程序的 React 框架。在 14.2.24 和 15.1.6 版本之前，存在一个竞态条件漏洞，导致正常端点在特定的配置错误下会提供 `pageProps` 数据而不是标准 HTML。

## 影响版本
- 低于 14.2.24 版本
- 低于 15.1.6 版本

## 细节
该漏洞仅在 Pages Router 的情况下发生，且需要特定的错误配置。问题通过移除传入请求中的 `x-now-route-matches` 标头在 15.1.6 和 14.2.24 版本中得到修复。

## 影响
- 应用程序托管在 Vercel 平台上不受此漏洞影响，因为该平台不会仅基于 `200 OK` 状态而忽略明确的 `cache-control` 标头来缓存响应。
- 自行托管 Next.js 部署且无法立即升级的用户可以通过以下方式缓解此漏洞：
  - **在内容开发网络中移除所有传入请求的 `x-now-route-matches` 标头**
  - **为所有有风险的响应设置 `cache-control: no-store`**
- Next.js 的维护者强烈建议只缓存那些有明确 `cache-control` 标头的响应。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Next.js Race Condition to Cache Poisoning
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Next.js is a React framework for building full-stack web applications. Versions prior to 14.2.24 and 15.1.6 have a race-condition vulnerability. This issue only affects the Pages Router under certain misconfigurations, causing normal endpoints to serve `pageProps` data instead of standard HTML. This issue was patched in versions 15.1.6 and 14.2.24 by stripping the `x-now-route-matches` header from incoming requests. Applications hosted on Vercel's platform are not affected by this issue, as the platform does not cache responses based solely on `200 OK` status without explicit `cache-control` headers. Those who self-host Next.js deployments and are unable to upgrade immediately can mitigate this vulnerability by stripping the `x-now-route-matches` header from all incoming requests at the content development network and setting `cache-control: no-store` for all responses under risk. The maintainers of Next.js strongly recommend only caching responses with explicit cache-control headers.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
使用共享资源的并发执行不恰当同步问题(竞争条件)
来源：美国国家漏洞数据库 NVD
漏洞标题
Next.js 竞争条件问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Next.js是Vercel开源的一个 React 框架。 Next.js 14.2.24之前版本和15.1.6之前版本存在竞争条件问题漏洞，该漏洞源于竞争条件，可能导致数据泄露。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
竞争条件问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-32421 的公开POC
# POC 描述 源链接 神龙链接
1 Comprehensive demonstration of CVE-2025-32421 Eclipse technique - a sophisticated race condition attack against Next.js 15.0.4 that bypasses the original CVE-2024-46982 patch. https://github.com/hidesec/CVE-2025-32421 POC详情
三、漏洞 CVE-2025-32421 的情报信息
四、漏洞 CVE-2025-32421 的评论

暂无评论

发表评论