Next.js 정적 페이지 캐시 포이즈닝 취약점 CVE-2025-49826

Next.js 15.1.0~15.1.7 버전에서 ISR(증분 정적 재생성) 사용 시 HTTP 204 빈 응답이 정적 페이지 캐시에 잘못 저장되어 이후 모든 요청에 빈 페이지가 서빙되는 캐시 포이즈닝 취약점이 발견됐다. CDN이 204 응답을 캐시하도록 설정된 self-hosted 환경에서만 발동하며, Vercel 호스팅은 영향 없다.

핵심 포인트

영향 버전: Next.js 15.1.0 이상 15.1.8 미만. Vercel 관리 호스팅 환경은 무관.
발동 조건: ① 영향 범위 버전 실행 ② ISR 캐시 재검증 활성화(next start/standalone) ③ CDN이 204 응답을 캐시하도록 구성.
공격 결과: 204 응답이 정적 페이지 캐시에 저장되어 이후 모든 사용자에게 빈 응답이 반환됨.
수정: Next.js 15.1.8 이상으로 업그레이드. 204 응답 생성 코드 경로 제거 + 공유 응답 객체 race condition 수정.
발견자: Allam Rachid(zhero), Allam Yasser(inzo_) 책임 공시.

상세 정리