🇰🇷 한글 설명
Next.js의 Cache Components 기능을 통한 Partial Prerendering을 사용하는 애플리케이션에서 서버 액션에 조작된 POST 요청을 보낼 경우 연결 고갈이 발생할 수 있습니다. 악의적인 요청이 요청 본문 처리 과정에서 데드락을 유발하여 연결을 장기간 유지시키며, 이로 인해 파일 디스크립터와 서버 용량이 소모되어 서비스 거부 상태에 빠질 수 있습니다.
💡 쉬운 설명
해커가 특수한 요청을 계속 보내 서버의 연결 통로를 모두 점유해버리는 공격입니다. 이로 인해 서버가 마비되어 일반 사용자들이 웹사이트에 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
Next.js is a React framework for building full-stack web applications. From to before 15.5.16 and 16.2.5, applications using Partial Prerendering through the Cache Components feature can be vulnerable to connection exhaustion through crafted POST requests to a server action. In affected configurations, a malicious request can trigger a request-body handling deadlock that leaves connections open for an extended period, consuming file descriptors and server capacity until legitimate users are denied service. This vulnerability is fixed in 15.5.16 and 16.2.5.
📍 영향받는 시스템
Next.js 15.5.16 미만 및 16.2.5 미만 버전 (Partial Prerendering 사용 시)
⚔️ 공격 벡터
서버 액션에 조작된 POST 요청을 전송하여 요청 본문 처리 데드락 유발
🛡️ 대응 방법
Next.js를 최신 보안 패치가 적용된 버전(15.5.16 또는 16.2.5 이상)으로 업데이트
🔧 검증 코드
출력된 Next.js 버전을 확인하여 15.5.16 또는 16.2.5보다 낮은지 확인
npm list next | grep next