流行的 React 框架 Next.js 已解决了一个安全漏洞，攻击者可利用该漏洞对使用 Server Actions 的应用程序发起拒绝服务 (DoS) 攻击。该漏洞被追踪为 CVE-2024-56332，由 PackDraw 团队负责任地披露。
Next.js 以其性能和开发人员友好的功能而著称，被许多高流量网站和应用程序所使用。Server Actions 是一个相对较新的功能，可实现服务器端数据获取和突变，从而提高应用程序的性能和安全性。然而，这个漏洞可能会让恶意行为者利用服务器操作来破坏服务的可用性。
漏洞的工作原理
安全公告对该漏洞的解释如下： “拒绝服务（DoS）攻击允许攻击者构建请求，使对服务器操作的请求悬空，直到托管服务提供商取消函数执行。”
从本质上讲，攻击者可以编造请求，让服务器动作无限期地运行，占用服务器资源，阻止合法用户访问应用程序。虽然 Next.js 服务器本身在攻击期间保持空闲，但开放连接可能会使服务器不堪重负，从而导致拒绝服务。
影响和缓解
CVE-2024-56332 漏洞影响了使用服务器动作的 Next.js 部署，特别是那些没有针对长时间运行函数执行提供保护的部署。像 Vercel 和 Netlify 这样的托管服务提供商通常都有默认的保护措施来降低此类风险，但其他平台上的部署可能更容易受到影响。
Next.js 团队已发布修补版本来解决这一漏洞。强烈建议用户升级到最新版本的 Next.js 14 (v14.2.21)、Next.js 15 (v15.1.2) 或 Next.js 13 (v13.5.8)，以确保其应用程序受到保护。
没有可用的解决方法
该安全公告称 “该漏洞没有官方的解决方法”，并强调了升级到已打补丁版本的重要性。
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容