pile·
보안·vercel-blogVercel Blog·

Next.js CDN 캐시 포이즈닝 취약점 (CVE-2025-32421)

Next.js 의 CDN 캐시 포이즈닝 취약점(CVE-2025-32421)이 공개됐다. 14.2.24 초과 ~ 15.1.6 미만 버전이 대상이며, `?__nextDataRequest=1` 쿼리와 `x-now-route-matches` 헤더를 동시에 조작하는 레이스 컨디션으로 비캐시 데이터의 응답 바디를 캐시 가능한 요청에 주입할 수 있다.

핵심 포인트
  • 영향 버전: Next.js 14.2.24 초과 ~ 15.1.6 미만
  • 공격 원리: 두 요청을 정밀한 타이밍에 전송 — `?__nextDataRequest=1`(비캐시 데이터 요청)과 `x-now-route-matches` 헤더를 가진 일반 요청을 동시 발송, 일부 CDN 이 explicit cache-control 없이 200 OK 를 캐시하는 동작을 이용
  • 피해 범위: CDN 캐시 오염에 한정. 백엔드 접근·권한 상승 불가. 정밀한 타이밍과 취약한 CDN 설정이 모두 필요해 실제 악용 난이도는 높음
  • Vercel 호스팅 사용자는 플랫폼이 explicit cache-control 을 강제해 영향 없음
  • 수정 버전(15.1.6, 14.2.24)은 응답에서 `x-now-route-matches` 헤더를 제거해 취약점 차단
  • 자체 호스팅 임시 대응: CDN 레이어에서 `x-now-route-matches` 헤더 제거 또는 위험 응답에 `cache-control: no-store` 적용
왜 읽나Next.js 를 자체 CDN 앞에 호스팅하는 팀이 패치 버전 적용 여부와 임시 우회 방법을 즉시 확인해야 한다.
vercel-blog
Vercel Blog 블로그
원문은 여기서 이어서 읽을 수 있어요
원문 읽기
읽음 (0)
·takedown 요청

이 글과 비슷한

  1. 보안·cloudflare-blogCloudflare Blog·

    사이트 소유자를 위한 새 AI 트래픽 제어 옵션

    Cloudflare가 Content Independence Day 1주년을 맞아 웹사이트 소유자가 AI 트래픽을 목적별로 세분화해 제어할 수 있는 새 시스템을 공개했다. 기존 "AI 봇 차단" 토글을 넘어 Search·Agent·Training 세 카테고리로 봇을 분류하고, robots.txt에 콘텐츠 재사용 범위를 선언하는 새 use= 시그널을 도입했다. 멀티퍼포스 봇은 가장 제한적인 카테고리 규칙이 적용되며, 2026년 9월 15일부터 광고 페이지에 새 기본값이 적용된다.

    #web-security#bot-management#robots-txt+2
  2. 보안·cloudflare-blogCloudflare Blog·

    Cloudflare 앱 생태계 OAuth 전면 개방 — Hydra 마이그레이션 내막

    Cloudflare가 OAuth 인프라를 Hydra 1.X에서 2.X로 업그레이드하면서 자체 관리 OAuth를 전체 개발자에게 개방한 과정을 다룬다. 스키마 변경으로 인한 인덱스 락 문제, 블루-그린 배포 전략, 전환 중 revocation 큐 설계, 전환 후 리프레시 토큰 버그까지 실제 운영 사고와 해결을 상세히 기록했다.

    #database-migration#zero-downtime#oauth+2
  3. 보안·cloudflare-blogCloudflare Blog·

    양자 내성 암호화 행정명령(EO 14409) — 2030 전환 기한과 조직 대응 방안

    2026년 6월 22일 트럼프 대통령이 서명한 행정명령 EO 14409는 미 연방 기관에 2030년까지 암호화(키 교환) 전환, 2031년까지 디지털 서명 전환을 요구한다. Cloudflare는 이미 자사 네트워크 브라우저 트래픽의 2/3 이상을 PQC(Post-Quantum Cryptography)로 보호 중이며, 이 글은 행정명령의 기술적 함의와 조직이 지금 당장 해야 할 일을 정리한다.

    #tls#cryptography#post-quantum-cryptography+2