NextJS 框架中发现严重 SSRF 漏洞-低调大师

NextJS 框架中发现严重 SSRF 漏洞

2024-05-11 368

Assetnote 的安全研究人员在 NextJS 框架中发现了一个严重的服务器端请求伪造 (SSRF) 漏洞，编号为 CVE-2024-34351。目前该漏洞已在 NextJS 版本 14.1.1 中进行了修补。

根据介绍，SSRF 漏洞源于 NextJS 内置的图像优化组件，该组件允许开发人员提供来自不同域的图像。通过将特定域列入白名单甚至允许所有 URL，开发人员会无意中将其应用程序暴露于盲目的 SSRF 攻击。攻击者可以通过构造对内部 URL 的请求来利用此漏洞，从而可能获得对敏感信息的未经授权的访问。

此外，研究人员发现该漏洞在某些条件下可能会升级。如果 NextJS 版本已过时或启用了"dangerouslyAllowSVG"选项，攻击者可能会实现跨站点脚本 (XSS) 或通过 SSRF 泄露 XML 响应的完整内容。

该漏洞还扩展到 NextJS 的服务器端功能，特别是其 Server Actions 功能。通过伪造指向内部主机的 Host header ，攻击者可以诱骗 NextJS 从该主机而非目标应用程序获取响应，从而导致 SSRF 漏洞。

为了降低风险，建议开发人员将其 NextJS 安装更新到版本 14.1.1 或更高版本。此外，至关重要的是要仔细审查和限制白名单中用于图像优化的域，并确保除非绝对必要，否则禁用"dangerouslyAllowSVG"选项。

除了 SSRF 缺陷之外，Next.js 团队还修复了一个名为 CVE-2024-34350 的高严重性漏洞，该漏洞的 CVSS 评分为 7.5。此安全问题由安全研究员 elifoster-block发现，是由于 Next.js 对 HTTP 请求的处理不一致而引起的，即恶意伪造的请求会被解释为单个请求和两个并发的独立请求。该漏洞特别影响使用 Next.js 中重写功能的路由，可能导致响应不同步，并导致响应队列中毒。

微信关注我们

原文链接：https://www.oschina.net/news/291860/nextjs-critical-ssrf-vulnerability

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

15 年前被钉在“FFmpeg 耻辱柱”，今天他却得谢谢咱——腾讯QQ影音一雪前耻？

就在刚刚，FFmpeg 在社交媒体公开感谢腾讯公司向项目提交的高质量补丁。这称得上是历史性时刻——毕竟 15 年前，腾讯的知名产品QQ影音因不遵循开源协议使用代码被 FFmpeg 钉在了“耻辱柱”（Hall of Shame）。事件背景 FFmpeg 全称为 Fast Forward MPEG (Moving Picture Experts Group)，由神一般的开发者——法国程序员法布里斯·贝拉（Fabrice Bellard）创建并开源。其最早诞生于 2000 年，是用户量最大的音视频编解码套件，全球 90% 以上的音视频软件是采用 FFmpeg 作为基础库进行音视频相关的功能支持，它包含丰富的封装格式支持、编解码格式支持、网络协议支持、滤镜支持等模块支持，具有较好的可移植性。 FFmpeg 采用LGPL 和 GPL 开源许可证（具体依据所选的组件）公开源代码，任何人都可以在遵守协议的情况下自由使用 FFmpeg，而且不收费。简单总结 FFmpeg 的优点就是：功能强大、代码开源、免费使用——很难不让人“白嫖”。 PC 互联网时代，许多播放器软件使用了 FFmpeg 的代码...

2024-05-10

383

华中科技大学网络空间安全学院联合网络与信息化办公室共同开发了华中科技大学开源镜像站。镜像站于2023年11月通过校园网域名 https://mirrors.hust.edu.cn 开放内测。经过半年时间的内测，镜像站如今正式面对全体用户开放外网访问！镜像站地址：https://mirrors.hust.edu.cn 镜像站GitHub仓库地址：https://github.com/hust-open-atom-club/hust-mirrors 镜像站Gitee仓库地址：https://gitee.com/hust-open-atom-club/hust-mirrors 在功能方面，华中科技大学开源镜像站目前已同步了包含openKylin，openEuler，OpenAnolis，deepin在内的44个开源软件镜像，有效镜像数据已超过40T。镜像站提供 http、https 两种访问方式获取指定软件下载链接，同时提供详细的帮助文档供用户查询相关软件、工具的使用。用户也可以在镜像站的“动态”页面，了解镜像站的运营动态。在软件层面上，镜像站完全采用开源方式进行开发与构建。镜像站后...

2024-05-11

240

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。