CVE.futuretools
FAQ
NVD NIST
CVE-2025-59472

A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when running in minimal mode.

CVSS 3.1Medium
5.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 15.0.0, 15.0.1, 15.0.2, 15.0.3, 15.0.4, 15.1.0, 15.1.1, 15.1.2, 15.1.3, 15.1.4, 15.1.5, 15.1.6, 15.1.7, 15.2.0, 15.2.1, 15.2.2, 15.2.3, 15.2.4, 15.2.5, 15.3.0, 15.3.1, 15.3.2, 15.1.8, 15.3.3, 15.4.0, 15.3.4, 15.3.5, 15.4.1, 15.4.2, 15.4.3, 15.4.4, 15.4.5, 15.4.6, 15.4.7, 15.5.0, 15.5.1, 15.5.2, 15.5.3, 15.5.4, 15.5.5, 15.5.6, 15.5.7, 15.4.8, 15.1.9, 15.0.5, 15.3.6, 15.2.6, 15.5.8, 15.4.9, 15.3.7, 15.2.7, 15.1.10, 15.0.6, 15.5.9, 15.4.10, 15.3.8, 15.2.8, 15.1.11, 15.0.7, 16.1.5, 15.6.0-canary.61
Обновите Next.js до исправленного релиза либо отключите Partial Prerendering (PPR) в minimal mode до установки патча.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Отказ в обслуживании (DoS) из-за исчерпания памяти в Next.js при включенном режиме Partial Prerendering (PPR).

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Эндпоинт возобновления PPR принимает неаутентифицированные запросы POST с заголовком Next-Resume: 1 и буферизирует тело запроса в память через Buffer.concat() без проверки размера, а также выполняет распаковку данных без ограничений (zipbomb).

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Аварийное завершение процесса Node.js из-за переполнения доступной оперативной памяти (OOM) и DoS веб-сервера.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

vercelnext
>= 15.0.0-canary.0➔Fix: 15.0.0
vercelnext
>= 15.0.1-canary.0➔Fix: 15.0.1
vercelnext
>= 15.0.2-canary.0➔Fix: 15.0.2
vercelnext
>= 15.0.3-canary.0➔Fix: 15.0.3
vercelnext
>= 15.0.4-canary.0➔Fix: 15.0.4
vercelnext
>= 15.1.0-canary.0➔Fix: 15.1.0
vercelnext
>= 15.1.1-canary.0➔Fix: 15.1.1
vercelnext
>= 15.1.2-canary.0➔Fix: 15.1.2
vercelnext
>= 15.1.3-canary.0➔Fix: 15.1.3
vercelnext
>= 15.1.4-canary.0➔Fix: 15.1.4
vercelnext
>= 15.1.5-canary.0➔Fix: 15.1.5
vercelnext
>= 15.1.6-canary.0➔Fix: 15.1.6
vercelnext
>= 15.1.7-canary.0➔Fix: 15.1.7
vercelnext
>= 15.2.0-canary.0➔Fix: 15.2.0
vercelnext
>= 15.2.1-canary.0➔Fix: 15.2.1
vercelnext
>= 15.2.2-canary.0➔Fix: 15.2.2
vercelnext
>= 15.2.3-canary.0➔Fix: 15.2.3
vercelnext
>= 15.2.4-canary.0➔Fix: 15.2.4
vercelnext
>= 15.2.5-canary.0➔Fix: 15.2.5
vercelnext
>= 15.3.0-canary.0➔Fix: 15.3.0
vercelnext
>= 15.3.1-canary.0➔Fix: 15.3.1
vercelnext
>= 15.3.2-canary.0➔Fix: 15.3.2
vercelnext
>= 15.1.8-canary.0➔Fix: 15.1.8
vercelnext
>= 15.3.3-canary.0➔Fix: 15.3.3
vercelnext
>= 15.4.0-canary.0➔Fix: 15.4.0
vercelnext
>= 15.3.4-canary.0➔Fix: 15.3.4
vercelnext
>= 15.3.5-canary.0➔Fix: 15.3.5
vercelnext
>= 15.4.1-canary.0➔Fix: 15.4.1
vercelnext
>= 15.4.2-canary.0➔Fix: 15.4.2
vercelnext
>= 15.4.3-canary.0➔Fix: 15.4.3
vercelnext
>= 15.4.4-canary.0➔Fix: 15.4.4
vercelnext
>= 15.4.5-canary.0➔Fix: 15.4.5
vercelnext
>= 15.4.6-canary.0➔Fix: 15.4.6
vercelnext
>= 15.4.7-canary.0➔Fix: 15.4.7
vercelnext
>= 15.5.0-canary.0➔Fix: 15.5.0
vercelnext
>= 15.5.1-canary.0➔Fix: 15.5.1
vercelnext
>= 15.5.2-canary.0➔Fix: 15.5.2
vercelnext
>= 15.5.3-canary.0➔Fix: 15.5.3
vercelnext
>= 15.5.4-canary.0➔Fix: 15.5.4
vercelnext
>= 15.5.5-canary.0➔Fix: 15.5.5
vercelnext
>= 15.5.6-canary.0➔Fix: 15.5.6
vercelnext
>= 15.5.7-canary.0➔Fix: 15.5.7
vercelnext
>= 15.4.8-canary.0➔Fix: 15.4.8
vercelnext
>= 15.1.9-canary.0➔Fix: 15.1.9
vercelnext
>= 15.0.5-canary.0➔Fix: 15.0.5
vercelnext
>= 15.3.6-canary.0➔Fix: 15.3.6
vercelnext
>= 15.2.6-canary.0➔Fix: 15.2.6
vercelnext
>= 15.5.8-canary.0➔Fix: 15.5.8
vercelnext
>= 15.4.9-canary.0➔Fix: 15.4.9
vercelnext
>= 15.3.7-canary.0➔Fix: 15.3.7
vercelnext
>= 15.2.7-canary.0➔Fix: 15.2.7
vercelnext
>= 15.1.10-canary.0➔Fix: 15.1.10
vercelnext
>= 15.0.6-canary.0➔Fix: 15.0.6
vercelnext
>= 15.5.9-canary.0➔Fix: 15.5.9
vercelnext
>= 15.4.10-canary.0➔Fix: 15.4.10
vercelnext
>= 15.3.8-canary.0➔Fix: 15.3.8
vercelnext
>= 15.2.8-canary.0➔Fix: 15.2.8
vercelnext
>= 15.1.11-canary.0➔Fix: 15.1.11
vercelnext
>= 15.0.7-canary.0➔Fix: 15.0.7
vercelnext
>= 16.1.0➔Fix: 16.1.5
——
>= 16.0.0-beta.0➔Fix: 16.1.5
——
>= 15.0.0-canary.0➔Патч не выпущен
——
>= 15.0.1-canary.0➔Патч не выпущен
——
>= 15.0.2-canary.0➔Патч не выпущен
——
>= 15.0.3-canary.0➔Патч не выпущен
——
>= 15.0.4-canary.0➔Патч не выпущен
——
>= 15.1.1-canary.0➔Патч не выпущен
——
>= 15.2.0-canary.0➔Патч не выпущен
——
>= 15.2.1-canary.0➔Патч не выпущен
——
>= 15.2.2-canary.0➔Патч не выпущен
——
>= 15.3.0-canary.0➔Патч не выпущен
——
>= 15.3.1-canary.0➔Патч не выпущен
——
>= 15.4.0-canary.0➔Патч не выпущен
——
>= 15.4.2-canary.0➔Патч не выпущен
——
>= 15.5.1-canary.0➔Патч не выпущен
——
>= 15.6.0-canary.0➔Fix: 15.6.0-canary.61

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2025-59472: A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when running in minimal mode.. URL: https://cve.futuretools.ru/cve/CVE-2025-59472
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2025_59472,
  title = {{CVE-2025-59472: A denial of service vulnerability exists in Next.js versions with Partial Prerendering (PPR) enabled when running in minimal mode.}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2025-59472}},
  note = {Оперативный инженерный анализ киберугроз}
}