JVNDB-2026-006519

OpenNextのOpenNext for Cloudflareにおける複数の脆弱性

@opennextjs/cloudflareパッケージにおいて、/cdn-cgi/image/ハンドラーのパス正規化のバイパスに起因するサーバーサイドリクエストフォージェリ（SSRF）脆弱性が確認されました。@opennextjs/cloudflareのワーカーテンプレートには、開発用途のみを想定した/cdn-cgi/image/ハンドラーが含まれています。本番環境ではCloudflareのエッジが/cdn-cgi/image/リクエストをWorkerに到達する前にインターセプトします。しかし、スラッシュの代わりにバックスラッシュを使用することで（/cdn-cgi\image/のように）、攻撃者はエッジのインターセプトを回避し、リクエストを直接Workerに到達させることが可能です。JavaScriptのURLクラスはバックスラッシュをスラッシュに正規化し、その結果リクエストがハンドラーに一致し、任意のリモートURLへの未検証フェッチをトリガーします。例えば、https://victim-site.com/cdn-cgi\image/aaaa/https://attacker.com のように、攻撃者が制御するattacker.comのコンテンツが被害者サイトのドメイン（victim-site.com）経由で配信され、同一生成元ポリシーを破り、ユーザーや他のサービスを誤導する恐れがあります。なお、このバイパスはパス内のバックスラッシュを保持するHTTPクライアント（例：curlの--path-as-is）でのみ機能し、ブラウザはリクエスト送信前にバックスラッシュをスラッシュに正規化します。さらに、Cloudflare Workers with AssetsおよびCloudflare Pagesにも類似の脆弱性が存在します。通常、/cdn-cgi/配下のアセットは公開されませんが、同様のバックスラッシュバイパス（/cdn-cgi\...）を使用すると、これらのアセットが公開され、プライベートデータの取得に悪用される可能性があります。例えば、Open Nextプロジェクトでは逐次キャッシュデータが/cdn-cgi/_next_cacheに保存されており、このバイパスにより公開される恐れがあります。

OpenNext

• OpenNext for Cloudflare 1.17.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OpenNext for Cloudflare (opennextjs-cloudflare) has a SSRF vulnerability via /_next/image endpoint  CVE-2025-6087  GitHub Advisory Database  GitHub

1. 誤って解決された名前や参照の使用(CWE-706) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]
3. サーバサイドのリクエストフォージェリ(CWE-918) [NVD評価]

1. CVE-2025-6087
2. CVE-2026-3125

1. National Vulnerability Database (NVD) : CVE-2026-3125
2. 関連文書 : @opennextjs/cloudflare - npm
3. 関連文書 : make dev /cdn-cgi/image behaves like prod for consistency by vicb  Pull Request #1147  opennextjs/opennextjs-cloudflare  GitHub

• [2026年03月11日]
    掲載