🇰🇷 한글 설명
Next.js 16.0.0부터 16.2.10 버전에서 Turbopack으로 빌드되고 App Router를 사용하며 config.i18n.locales에 단일 항목이 설정된 애플리케이션은, 조작된 요청을 통해 미들웨어/프록시 기반 인증을 우회당할 수 있습니다. 이 문제는 16.2.11 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 로그인 검사 기능을 특정 방식으로 조작된 요청이 통과시켜, 인증 없이 보호된 페이지에 접근될 수 있는 취약점입니다. 해당 버전의 Next.js를 사용 중이라면 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
Next.js is a React framework for building full-stack web applications. In versions 16.0.0 through 16.2.10, crafted requests targeting Next.js applications using App Router built with Turbopack and a single entry in config.i18n.locales can bypass middleware/proxy based authentication. This issue has been fixed in version 16.2.11.
📍 영향받는 시스템
Next.js 16.0.0 ~ 16.2.10 (Turbopack, App Router, 단일 i18n locale 설정 환경)
⚔️ 공격 벡터
조작된 HTTP 요청을 보내 미들웨어/프록시의 인증 검사를 우회하여 보호된 리소스에 무단 접근
🛡️ 대응 방법
Next.js를 16.2.11 이상으로 업그레이드 (npm install next@latest 또는 npm install [email protected])
🔧 검증 코드
출력된 next 버전이 16.0.0~16.2.10 범위에 해당하면 취약하며, 16.2.11 이상이면 패치된 상태입니다.
npm ls next 2>/dev/null | grep -E 'next@'