🇰🇷 한글 설명
Next.js 16.0.0부터 16.3.8 버전 사이의 개발 서버에서 Model Context Protocol 엔드포인트가 교차 사이트 요청을 제대로 제한하지 않는 취약점이 발견되었습니다. 공격자가 악성 웹사이트를 통해 개발자의 로컬 개발 서버에 접근하여 프로젝트의 디스크 경로, 소스 코드 조각, 라우트 목록 및 개발 로그를 탈취할 수 있습니다.
💡 쉬운 설명
개발자가 작업 중인 컴퓨터에서 실행 중인 Next.js 개발 서버의 보안 구멍을 이용해 프로젝트의 중요한 코드나 정보를 몰래 훔쳐갈 수 있는 문제입니다. 악성 사이트에 접속하기만 해도 개발 중인 소스 코드가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Next.js is a React framework for building full-stack web applications. From 16.0.0 until 16.3.8, the next dev development server exposes a Model Context Protocol endpoint without reliably restricting cross-site requests. A malicious website visited by a developer can reach the endpoint and read the project's disk location, source code snippets from error reports, route inventory, and development logs. Production deployments do not serve this endpoint. This issue is fixed in version 16.3.8.
📍 영향받는 시스템
Next.js versions 16.0.0 to 16.3.8 (Development Server only)
⚔️ 공격 벡터
개발자가 악성 웹사이트에 접속할 때 발생하는 교차 사이트 요청(Cross-site requests)을 통한 엔드포인트 접근
🛡️ 대응 방법
Next.js 버전을 16.3.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Next.js 버전이 16.3.8 미만인지 확인하십시오.
npm list next | grep next