Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在最小模式下執行時若已啟用部分預先呈現 (PPR) 的 Next.js 版本存在一個拒絕服務弱點。PPR 恢復端點接受未經驗證且具有 `Next-Resume: 1` 標頭的 POST 要求並處理攻擊者控制的延遲狀態資料。兩個密切相關的弱點可讓攻擊者透過記憶體耗盡造成伺服器處理程序損毀 1. **無限制要求內文緩衝**：伺服器使用 `Buffer.concat()` 將整個 POST 要求內文緩衝到記憶體中而不強制執行任何大小限制進而允許任意大型承載耗盡可用記憶體。 2. **無限制的解壓縮 (zipbomb)**：使用 `inflateSync()` 解壓縮恢復資料快取時未限制解壓縮的輸出大小。小型壓縮承載可擴充至數百 MB 或 GB進而造成記憶體耗盡。兩個攻擊向量都會導致嚴重的 V8 記憶體不足錯誤 (`FATAL ERROR: Reached heap limit Allocation failed - JavaScript heap out of memory`)進而造成 Node.js 處理程序終止。zipbomb 變體特別危險因為其可繞過反向代理伺服器要求大小限制同時仍會在伺服器上造成大量記憶體配置。若要受到影響您必須以 `experimental.ppr: true` 或 `cacheComponents: true` 執行應用程式並設定 NEXT_PRIVATE_MINIMAL_MODE=1 環境變數。強烈考慮升級至 15.6.0-canary.61 或 16.1.5 以降低風險並防止 Next 應用程式中出現可用性問題。
    (CVE-2025-59472)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補的弱點：CVE-2025-59472

medium Nessus Plugin ID 297048

版本 1.1