Anmelden
Deutsch English Español Polski
Mittel

Next.js has Unbounded Memory Consumption via PPR Resume Endpoint

  • Veröffentlicht: 28.01.2026
  • Aktualisiert: 11.10.2026 10:22

A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when running in minimal mode. The PPR resume endpoint accepts unauthenticated POST requests with the Next-Resume: 1 header and processes attacker-controlled postponed state data. Two closely related vulnerabilities allow an attacker to crash the server process through memory exhaustion:

  1. Unbounded request body buffering: The server buffers the entire POST request body into memory using Buffer.concat() without enforcing any size limit, allowing arbitrarily large payloads to exhaust available memory.

  2. Unbounded decompression (zipbomb): The resume data cache is decompressed using inflateSync() without limiting the decompressed output size. A small compressed payload can expand to hundreds of megabytes or gigabytes, causing memory exhaustion.

Both attack vectors result in a fatal V8 out-of-memory error (FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory) causing the Node.js process to terminate. The zipbomb variant is particularly dangerous as it can bypass reverse proxy request size limits while still causing large memory allocation on the server.

To be affected, an application must run with experimental.ppr: true or cacheComponents: true configured along with the NEXT_PRIVATE_MINIMAL_MODE=1 environment variable.

Strongly consider upgrading to 15.6.0-canary.61 or 16.1.5 to reduce risk and prevent availability issues in Next applications.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket next >= 16.0.0-beta.0, < 16.1.5, >= 15.0.0-canary.0, <= 15.0.0-canary.205, >= 15.0.1-canary.0, <= 15.0.1-canary.3, >= 15.0.2-canary.0, <= 15.0.2-canary.11, >= 15.0.3-canary.0, <= 15.0.3-canary.9, >= 15.0.4-canary.0, <= 15.0.4-canary.52, >= 15.1.1-canary.0, <= 15.1.1-canary.27, >= 15.2.0-canary.0, <= 15.2.0-canary.77, >= 15.2.1-canary.0, <= 15.2.1-canary.6, >= 15.2.2-canary.0, <= 15.2.2-canary.7, >= 15.3.0-canary.0, <= 15.3.0-canary.46, >= 15.3.1-canary.0, <= 15.3.1-canary.15, >= 15.4.0-canary.0, <= 15.4.0-canary.130, >= 15.4.2-canary.0, <= 15.4.2-canary.56, >= 15.5.1-canary.0, <= 15.5.1-canary.39, >= 15.6.0-canary.0, < 15.6.0-canary.61 16.1.5, 15.6.0-canary.61

Verweise

CVSS-Wert 5.9/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE)
CWE-400, CWE-409, CWE-770
Plattform
npm
Paket
next
Veröffentlicht
28.01.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-5f7q-jpqc-wp7h - CC BY 4.0

Schwachstellenhistorie: next

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (73) im Archiv
Einträge insgesamt
73
Erste → letzte
12.2017 10.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 5
  • Hoch 27
  • Mittel 32
  • Niedrig 9

Veröffentlichungen pro Jahr

Schweregrad:
  1. Next.js has Server-Side Request Forgery in Image Optimization
    Hoch · 6.5 CVE-2026-94483 >= 16.0.0, < 16.3.8 16.3.8
  2. Next.js: Remote Code Execution in next/og ImageResponse
    Kritisch ghsa-vcvr-r3jv-pc5j >= 16.2.0, < 16.3.6 16.3.6
  3. Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
    Kritisch ghsa-2xp9-vwfh-vxw4 >= 10.0.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  4. Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
    Kritisch · 9.0 CVE-2026-75604 >= 13.4.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  5. Next.js: Server-Side Request Forgery in Server Actions on custom servers
    Hoch CVE-2026-64649 >= 14.1.1, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  6. Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
    Hoch CVE-2026-64645 >= 12.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  7. Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
    Hoch CVE-2026-64642 >= 16.0.0, < 16.2.11 16.2.11
  8. Next.js: Denial of Service in App Router using Server Actions
    Hoch CVE-2026-64641 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  9. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
    Hoch · 7.5 CVE-2026-45109 >= 15.2.0, < 15.5.18, >= 16.0.0, < 16.2.6 15.5.18, 16.2.6
  10. Next.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
    Hoch · 7.5 CVE-2026-44579 >= 15.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  11. Next.js vulnerable to server-side request forgery in applications using WebSocket upgrades
    Hoch · 8.6 CVE-2026-44578 >= 13.4.13, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  12. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
    Hoch · 7.5 CVE-2026-44575 >= 15.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  13. Next.js has a Middleware / Proxy bypass through dynamic route parameter injection
    Hoch · 8.1 CVE-2026-44574 >= 15.4.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  14. Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
    Hoch · 7.5 CVE-2026-44573 >= 12.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  15. Next.js Vulnerable to Denial of Service with Server Components
    Hoch · 7.5 ghsa-8h8q-6873-q5fj >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  16. Next.js has a Denial of Service with Server Components
    Hoch · 7.5 ghsa-q4gf-8mx6-v5v3 >= 13.0.0, < 15.5.15, >= 16.0.0-beta.0, < 16.2.3 15.5.15, 16.2.3
  17. Next.js HTTP request deserialization can lead to DoS when using insecure React Server Components
    Hoch · 7.5 ghsa-h25m-26qc-wcjf >= 13.0.0, < 15.0.8, >= 15.1.1-canary.0, < 15.1.12, >= 15.2.0-canary.0, < 15.2.9, >= 15.3.0-canary.0, < 15.3.9, >= 15.4.0-canary.0, < 15.4.11, >= 15.5.1-canary.0, < 15.5.10, >= 15.6.0-canary.0, < 15.6.0-canary.61, >= 16.0.0-beta.0, < 16.0.11, >= 16.1.0-canary.0, < 16.1.5 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11, 15.5.10, 15.6.0-canary.61, 16.0.11, 16.1.5
  18. Next.js has Unbounded Memory Consumption via PPR Resume Endpoint dieser Eintrag
    Mittel · 5.9 CVE-2025-59472 >= 16.0.0-beta.0, < 16.1.5, >= 15.0.0-canary.0, <= 15.0.0-canary.205, >= 15.0.1-canary.0, <= 15.0.1-canary.3, >= 15.0.2-canary.0, <= 15.0.2-canary.11, >= 15.0.3-canary.0, <= 15.0.3-canary.9, >= 15.0.4-canary.0, <= 15.0.4-canary.52, >= 15.1.1-canary.0, <= 15.1.1-canary.27, >= 15.2.0-canary.0, <= 15.2.0-canary.77, >= 15.2.1-canary.0, <= 15.2.1-canary.6, >= 15.2.2-canary.0, <= 15.2.2-canary.7, >= 15.3.0-canary.0, <= 15.3.0-canary.46, >= 15.3.1-canary.0, <= 15.3.1-canary.15, >= 15.4.0-canary.0, <= 15.4.0-canary.130, >= 15.4.2-canary.0, <= 15.4.2-canary.56, >= 15.5.1-canary.0, <= 15.5.1-canary.39, >= 15.6.0-canary.0, < 15.6.0-canary.61 16.1.5, 15.6.0-canary.61
  19. Next has a Denial of Service with Server Components - Incomplete Fix Follow-Up
    Hoch · 7.5 ghsa-5j59-xgg2-r9c4 >= 13.3.1-canary.0, < 14.2.35, >= 15.0.6, < 15.0.7, >= 15.1.10, < 15.1.11, >= 15.2.7, < 15.2.8, >= 15.3.7, < 15.3.8, >= 15.4.9, < 15.4.10, >= 15.5.8, < 15.5.9, >= 15.6.0-canary.59, < 15.6.0-canary.60, >= 16.0.9, < 16.0.10, >= 16.1.0-canary.17, < 16.1.0-canary.19 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9, 15.6.0-canary.60, 16.0.10, 16.1.0-canary.19
  20. Next Vulnerable to Denial of Service with Server Components
    Hoch · 7.5 ghsa-mwv6-3258-q52c >= 13.3.0, < 14.2.34, >= 15.0.0-canary.0, < 15.0.6, >= 15.1.1-canary.0, < 15.1.10, >= 15.2.0-canary.0, < 15.2.7, >= 15.3.0-canary.0, < 15.3.7, >= 15.4.0-canary.0, < 15.4.9, >= 15.5.1-canary.0, < 15.5.8, >= 15.6.0-canary.0, < 15.6.0-canary.59, >= 16.0.0-beta.0, < 16.0.9, >= 16.1.0-canary.0, < 16.1.0-canary.17 14.2.34, 15.0.6, 15.1.10, 15.2.7, 15.3.7, 15.4.9, 15.5.8, 15.6.0-canary.59, 16.0.9, 16.1.0-canary.17
Mehr anzeigen (13) 20 von 33 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.