CVE-2024-56332

Next.js, full-stack veb tətbiqlər yaratmaq üçün nəzərdə tutulmuş bir React freymvorkudur. Versiya 13.0.0-dan başlayaraq və 13.5.8, 14.2.21 və 15.1.2 versiyalarından əvvəlki Next.js, hücumçulara Server Actions sorğularını hostinq provayder funksiyanın icrasını ləğv edənə qədər asılı vəziyyətdə saxlayan sorğular qurmağa imkan verən Xidmətdən İmtina (DoS) hücumuna qarşı həssasdır. Bu zəiflik, cavab müddətinə görə ödəniş tələb edən provayderlərdə tətbiq edildikdə, Denial of Wallet (DoW) hücumu kimi də istifadə edilə bilər. (Qeyd: Həmin müddət ərzində Next.js serveri boş qalır və yalnız bağlantını açıq saxlayır. Bu zaman CPU və yaddaş istifadəsi aşağı olur). Uzun müddət davam edən Server Action çağırışlarına qarşı heç bir qoruması olmayan tətbiqlər xüsusilə həssasdır. Vercel və ya Netlify kimi hostinq provayderləri, hədsiz fakturalaşdırma riskini azaltmaq üçün funksiya icrasına standart maksimum müddət təyin edirlər. Bu problem, daxil olan HTTP sorğusunun yanlış `Content-Length` başlığına malik olması və ya heç vaxt bağlanmaması ilə eyni məsələdir. Əgər hostda bunlara qarşı digər tədbirlər yoxdursa, bu zəiflik yenidir. Bu zəiflik yalnız Server Actions istifadə edən Next.js tətbiqlərinə təsir edir. Problem Next.js 13.5.8, 14.2.21 və 15.1.2 versiyalarında həll edilmişdir. İstifadəçilərə təhlükəsiz versiyaya keçid etməkləri tövsiyə olunur. Rəsmi alternativ həll yolu mövcud deyil.