🇰🇷 한글 설명
Next.js 12.2.0부터 15.5.16 미만 및 16.2.5 미만 버전에서, i18n이 설정된 Pages Router 애플리케이션이 미들웨어/프록시 기반 인가를 사용할 경우 로케일 없는 /_next/data/<buildId>/<page>.json 요청을 통해 보호된 페이지 데이터에 무단 접근이 가능합니다. 영향받는 구성에서는 접두사가 없는 데이터 경로에 대해 미들웨어가 실행되지 않아, 공격자가 의도된 인가 검사를 거치지 않고 보호된 페이지의 SSR JSON을 가져올 수 있습니다. 15.5.16 및 16.2.5에서 수정되었습니다.
💡 쉬운 설명
로그인이 필요한 페이지의 데이터를 특정 주소 형식으로 요청하면 보안 검사를 우회해 내용을 볼 수 있는 취약점입니다. 최신 보안 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Next.js is a React framework for building full-stack web applications. From 12.2.0 to before 15.5.16 and 16.2.5, Applications using the Pages Router with i18n configured and middleware/proxy-based authorization can allow unauthorized access to protected page data through locale-less /_next/data/<buildId>/<page>.json requests. In affected configurations, middleware does not run for the unprefixed data route, allowing an attacker to retrieve SSR JSON for protected pages without passing the intended authorization checks. This vulnerability is fixed in 15.5.16 and 16.2.5.
📍 영향받는 시스템
Next.js 12.2.0 이상 15.5.16 미만, 16.0.0 이상 16.2.5 미만 중 i18n 및 미들웨어 인가를 사용하는 Pages Router 애플리케이션
⚔️ 공격 벡터
로케일 접두사가 없는 /_next/data/<buildId>/<page>.json 경로로 요청을 보내 미들웨어 인가를 우회하고 보호된 페이지의 SSR JSON 데이터를 획득
🛡️ 대응 방법
Next.js를 15.5.16 또는 16.2.5 이상으로 업그레이드하고 npm ls next로 적용 여부를 확인
🔧 검증 코드
출력된 next 버전이 15.5.16 또는 16.2.5 이상이면 패치된 것이며, 그보다 낮은 버전이면 취약하므로 업그레이드가 필요합니다.
npm ls next 2>/dev/null | grep -E 'next@'