JVNDB-2026-004902

Vercel, Inc. (旧 Zeit, Inc.)のNext.jsにおけるリソースの枯渇に関する脆弱性

Next.jsの部分プリレンダリング（PPR）が有効で、最小モードで動作しているバージョンにおいて、サービス拒否の脆弱性が存在します。PPRのレジュームエンドポイントは、`Next-Resume: 1`ヘッダーを含む認証されていないPOSTリクエストを受け入れ、攻撃者が制御可能な延期状態データを処理します。密接に関連した2つの脆弱性により、攻撃者はメモリ不足によりサーバープロセスをクラッシュさせることが可能です。1. **無制限のリクエストボディバッファリング**：サーバーはPOSTリクエストボディ全体を`Buffer.concat()`を用いてメモリにバッファリングしますが、サイズ制限を設けておらず、任意の大きさのペイロードにより利用可能なメモリを枯渇させる恐れがあります。2. **無制限の解凍（zipbomb）**：レジュームデータキャッシュは`inflateSync()`で解凍されますが、解凍後の出力量に制限がなく、小さな圧縮ペイロードが数百メガバイトやギガバイトに膨張し、メモリ枯渇を引き起こします。両方の攻撃手法は致命的なV8のメモリ不足エラー（`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`）を引き起こし、Node.jsプロセスを強制終了させます。zipbomb型は特に危険で、リバースプロキシのリクエストサイズ制限を回避しつつ、大きなメモリ割り当てをサーバーで発生させる可能性があります。影響を受けるためには、`experimental.ppr: true`または`cacheComponents: true`が設定され、さらにNEXT_PRIVATE_MINIMAL_MODE=1環境変数が有効である必要があります。リスク軽減およびNextアプリケーションの可用性問題防止のために、15.6.0-canary.61または16.1.5へのアップグレードを強く推奨します。

Vercel, Inc. (旧 Zeit, Inc.)

• Next.js 15.0.0 以上 15.6.0 未満
• Next.js 16.0.0 以上 16.1.5 未満
• Next.js 15.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Denial of Service in Partial Pre Rendering  Advisory  vercel/next.js  GitHub

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2025-59472

1. National Vulnerability Database (NVD) : CVE-2025-59472

• [2026年02月26日]
    掲載