С NextJS покончено... 13 НОВЫХ уязвимостей

하이라이트

• В React и Next.js обнаружено 13 новых уязвимостей (CVE), 6 из которых имеют высокий уровень серьезности.

• Уязвимость SSRF с рейтингом 8.6 из 10 позволяет обходить файрволы и получать доступ к внутренним сервисам вроде Redis или баз данных.

• Ошибка в десериализации протокола React Flight вызывает отказ в обслуживании (DoS), увеличивая время обработки запроса с 0,02 до 6 секунд за один цикл.

• Межсайтовый скриптинг (XSS) с рейтингом 6.1 возникает при использовании стратегии beforeInteractive в тегах script из-за отсутствия экранирования в JSON.stringify.

• Уязвимость Pages Router i18n позволяет извлекать конфиденциальные данные server-side props через прямой запрос к пути _next/data/ без авторизации.

• Отравление кэша (Cache Poisoning) происходит из-за некорректной обработки расширения .rsc в строках запроса, что заставляет систему выдавать данные серверных компонентов вместо HTML.

타임라인

1. 00:00:00 - 00:03:51

   Обход Middleware и прокси в Pages Router

   При использовании i18n английская и французская версии страниц защищаются корректно, однако базовый маршрут остается открытым. Злоумышленник может извлечь ID сборки из исходного кода страницы и составить прямой запрос к JSON-данным. Это позволяет получить такие данные, как email и заголовки, которые должны быть доступны только авторизованным пользователям.

   • Включение i18n в конфигурации Next.js создает незащищенные маршруты для получения данных.
   • Прямой запрос к URL вида _next/data/[build-id]/page.json позволяет получить доступ к server-side props в обход middleware.
   • Ошибка в логике матчера игнорирует базовый путь страницы при наличии языковых префиксов.
2. 00:03:52 - 00:07:48

   Отказ в обслуживании (DoS) в серверных компонентах

   Уязвимость затрагивает пакет react-server-dom и фреймворки на его основе. Атака заключается в добавлении огромного количества случайных ключей в payload Server Action. Это блокирует поток выполнения на сервере на несколько секунд, парализуя работу приложения. Новая система на основе курсора исключает повторные проходы по списку ключей, предотвращая зависание.

   • Протокол React Flight уязвим к атакам через чрезмерное количество ключей в полезной нагрузке.
   • Алгоритм поиска соответствий имел сложность k*n, что приводило к выполнению 200 миллионов операций сравнения строк при 200 000 ключах.
   • Исправление через систему курсоров оптимизировало обработку до линейной сложности n+k.
3. 00:07:49 - 00:10:59

   Критическая уязвимость SSRF и обход файрвола

   При обработке веб-сокет соединений функция resolveRoutes принимала произвольный целевой URL без надлежащей проверки принадлежности к приложению. Это позволяло через обычный curl-запрос получить доступ к локальным базам данных или Python-серверам, скрытым за внешним файрволом. Исправление добавляет проверку легитимности прокси-запроса на основе конфигурации рерайтов.

   • Next.js некорректно проксирует запросы при наличии заголовка Upgrade: websocket.
   • Злоумышленник может заставить сервер Next.js отправить запрос к закрытым внутренним сервисам внутри облачного контура.
   • Уязвимость не затрагивает проекты, размещенные на платформе Vercel, но критична для self-hosted решений.
4. 01:10:00 - 01:12:44

   Отравление кэша (Cache Poisoning)

   Атака проводится путем отправки запроса с заголовком React-Server-Component и специально сформированной строкой запроса. Поскольку система не распознает запрос как серверный компонент из-за символов после .rsc, она помечает ответ как HTML. В результате CDN выдает внутренние данные React Flight всем последующим посетителям страницы.

   • Данные серверных компонентов могут ошибочно сохраняться в кэше CDN как обычный HTML.
   • Проверка расширения .rsc игнорировала наличие строки запроса (query string) в конце URL.
   • Следующий легитимный пользователь получает нечитаемую заплатку данных вместо отрендеренной страницы.
5. 01:12:45 - 01:15:53

   Межсайтовый скриптинг (XSS) в скриптах

   Уязвимость возникает, когда данные из searchParams попадают в атрибуты тега script. Так как JSON.stringify не экранирует угловые скобки, злоумышленник может принудительно закрыть текущий скрипт и открыть новый с произвольным кодом. Это позволяет отображать поддельный интерфейс поверх легитимного сайта для фишинга данных пользователя.

   • Стратегия beforeInteractive в сочетании с пользовательским вводом в атрибутах создает условия для XSS.
   • JSON.stringify не выполняет автоматическое экранирование закрывающих тегов script.
   • Злоумышленник может внедрять фальшивые формы входа или красть сессионные куки Chrome.