Next.js : mélange de contenu Draft Mode et de contenu publié dans le cache

Veille sécuritéFrontend

P4Moyenne

Lorsque Cache Components ou `experimental.useCache` est activé, des remplissages simultanés du cache pour une même clé peuvent être partagés entre les requêtes Draft Mode et les requêtes ordinaires. Cela peut exposer du contenu non publié à une requête ordinaire ou, lors d’un prérendu, laisser persister du contenu dépendant du mode brouillon dans une page servie ultérieurement aux visiteurs.

IdentifiantCVE-2026-94544

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif16.3.8

Source : NVD — CVE-2026-94544

Analyse technique

L’impact concerne les sites dont les fonctions mises en cache retournent du contenu dépendant de Draft Mode ; la persistance éventuelle dure jusqu’à la revalidation.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée dans la période, selon la date de publication NVD du 2026-10-02T16:16:52.217Z. La fiche indique une correction en 16.3.8.

ImpactDu contenu non publié peut être révélé à des requêtes ordinaires, ou du contenu de brouillon peut être conservé dans une page prérendue.

Versions affectées16.3.0 à 16.3.7

Version corrigée16.3.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

Publication2026-10-02T16:16:52.217Z

Mise à jour2026-10-02T17:55:42.580Z

Détection / vérification

Vérifier si Cache Components ou `experimental.useCache` est activé et si des fonctions mises en cache renvoient du contenu dépendant du Draft Mode.

Action recommandée

Mettre à jour Next.js vers 16.3.8 ; vérifier si Cache Components ou `experimental.useCache` est activé et si les fonctions mises en cache retournent du contenu dépendant de Draft Mode.

Sources

NVD — CVE-2026-94544

Priorisation DFS : P4 · 1 source(s).