🇰🇷 한글 설명
Next.js 16.0.0부터 16.3.8 버전 사이의 `next dev` 개발 서버에서 Model Context Protocol 엔드포인트가 교차 사이트 요청을 제대로 제한하지 않는 취약점이 발견되었습니다. 공격자가 악성 웹사이트를 통해 개발자의 로컬 개발 서버에 접근하여 프로젝트의 디스크 경로, 소스 코드 조각, 라우트 목록 및 개발 로그를 탈취할 수 있습니다.
💡 쉬운 설명
개발자가 웹 서핑을 하는 동안 악성 사이트에 접속하면, 개발 중인 프로젝트의 소스 코드나 중요한 정보가 몰래 유출될 수 있는 문제입니다. 이 문제는 실제 서비스 중인 서버가 아닌, 개발용 서버에서만 발생합니다.
🇺🇸 원문 (English)
Next.js is a React framework for building full-stack web applications. From 16.0.0 until 16.3.8, the `next dev` development server exposes a Model Context Protocol endpoint without reliably restricting cross-site requests. A malicious website visited by a developer can reach the endpoint and read the project's disk location, source code snippets from error reports, route inventory, and development logs. Production deployments do not serve this endpoint. This issue is fixed in version 16.3.8.
📍 영향받는 시스템
Next.js versions 16.0.0 through 16.3.8 (using `next dev`)
⚔️ 공격 벡터
개발자가 악성 웹사이트를 방문할 때 브라우저를 통해 로컬 개발 서버의 엔드포인트로 요청을 보내 정보를 탈취하는 방식
🛡️ 대응 방법
Next.js 버전을 16.3.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Next.js 버전을 확인하여 16.3.8 미만인지 확인합니다.
npm list next | grep next
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server