JVNDB-2026-036670

Vercel, Inc. (旧 Zeit, Inc.)のNext.jsにおける重要な情報を含むキャッシュの使用に関する脆弱性

Next.jsの16.3.0から16.3.7のバージョンでは、`next/root-params`を使用して`use cache`ハンドラーをウォームアップする際に、異なるルートパラメータを持つページに対してその戻り値が漏洩する可能性があります。Cache Componentsが有効（cacheComponents: true）の場合、別の`use cache`関数を呼び出し、その関数がルートパラメータを読み取ると、既存のエントリから内部呼び出しが提供された際にキーが誤って生成されることがあります。結果として、外側の関数のキャッシュキーからそのルートパラメータが省略されてしまいます。外側のエントリは一度だけ書き込まれ、すべてのルートパラメータ値で再利用されるため、あるルートパラメータ値のレスポンスが別の値から生成されたコンテンツを返してしまう可能性があります。これはビルド時またはランタイムでのプリレンダリング、あるいは動的レンダリング時のすべてに該当します。共有キャッシュヘッダーにより、下流のキャッシュがさらにコンテンツを再配布することが可能です。漏洩する値は攻撃者が制御できるものではありません。どの値のコンテンツが提供されるかは、最初にそのエントリを書き込んだ呼び出しにのみ依存しています。この問題は16.3.8で修正されています。

Vercel, Inc. (旧 Zeit, Inc.)

• Next.js 16.3.0 以上 16.3.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Cache leak across root param values in nested 'use cache' functions  Advisory  vercel/next.js  GitHub

1. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-103004

1. National Vulnerability Database (NVD) : CVE-2026-103004
2. 関連文書 : Release v16.3.8  vercel/next.js  GitHub

• [2026年10月06日]
    掲載