🇰🇷 한글 설명
Next.js는 풀스택 웹 애플리케이션을 구축하기 위한 React 프레임워크입니다. 15.5.0~15.5.20 및 16.0.0~16.2.10 버전에서 기본 이미지 로더를 사용해 자체 호스팅할 때, config.images.remotePatterns에 설정된 원격 이미지를 최적화하는 과정에서 악성 콘텐츠가 포함된 이미지가 /_next/image 엔드포인트의 CPU 소진을 유발할 수 있습니다. 해당 이슈는 15.5.21 및 16.2.11 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트가 외부 이미지를 자동으로 최적화하는 기능에서, 악의적인 이미지를 처리하면 서버 CPU가 과도하게 사용되어 느려지거나 멈출 수 있습니다. 해당 기능을 사용하지 않거나 최신 버전으로 업데이트하면 위험을 줄일 수 있습니다.
🇺🇸 원문 (English)
Next.js is a React framework for building full-stack web applications. In versions 15.5.0 through 15.5.20 and 16.0.0 through 16.2.10, when self-hosting Next.js with the default image loader, the Image Optimization API can optimize remotely hosted images if configured (not enabled by default). If those images contain malicious content, they can cause CPU exhaustion in /_next/image endpoints.Only config.images.remotePatterns is affected, and just the patterns in that array, whereas config.images.unoptimized: true, config.images.loader: 'custom', and Vercel are not impacted. This issue has been fixed in versions 15.5.21 and 16.2.11.
📍 영향받는 시스템
Next.js 15.5.0~15.5.20, 16.0.0~16.2.10 (기본 이미지 로더로 자체 호스팅하며 remotePatterns를 설정한 경우)
⚔️ 공격 벡터
공격자가 remotePatterns에 허용된 원격 호스트에서 악성 이미지를 제공하거나 해당 URL로 /_next/image 엔드포인트를 반복 요청해 CPU 자원을 고갈시킴
🛡️ 대응 방법
Next.js를 15.5.21 또는 16.2.11 이상으로 업데이트하고, 필요 시 images.unoptimized 또는 custom loader 사용을 검토
🔧 검증 코드
출력된 next 버전이 15.5.0~15.5.20 또는 16.0.0~16.2.10 범위에 해당하면 취약하며, 15.5.21 / 16.2.11 이상이면 패치된 버전입니다.
npm list next 2>/dev/null | grep next@