Vercelのセキュリティチームは、Next.jsのApp Router環境で利用されるServer ActionsおよびIncremental Static Regeneration（ISR）キャッシュ処理におけるセキュリティ上の欠陥を公表し、修正バージョンを緊急リリースしました。
脆弱性の詳細と攻撃シナリオ
公表された脆弱性は、クライアントからサーバーへのServer Action呼び出し時におけるオリジン検証の不備と、共有キャッシュキーの生成ロジックの不整合に起因します。攻撃者が細工したHTTPヘッダーを送信することで、CSRF（クロスサイトリクエストフォージェリ）様のアクション実行や、悪意のあるレスポンスを共有CDNキャッシュにポイズニングさせるリスクが指摘されています。
対象バージョンとアップグレード手順
Next.js 14系および15系の特定リリースが対象となります。開発者はプロジェクトの package.json を確認し、最新パッチバージョンへの更新と依存関係の再インストール（npm update next / pnpm update next）を実施してください。あわせて環境変数やServer Action内の認証コンテキストが正しく検証されているかを再監査することが推奨されます。