CVE-2026-23869 — Next.js App Router DoS 취약점 (CVSS 7.5)

Next.js의 App Router Server Function 엔드포인트에서 CVE-2026-23869(CVSS 7.5, 고위험)가 발견됐다. 특수 제작된 HTTP 요청을 역직렬화할 때 CPU가 과소비되는 DoS 취약점으로, Next.js 13.x~16.x 전 버전이 영향받는다. 즉시 패치 버전으로 업그레이드하는 것이 유일한 완전한 해결책이다.

핵심 포인트

CVE-2026-23869, CVSS 7.5 고위험. React Server Components의 App Router Server Function 역직렬화 경로에서 발생하는 DoS 취약점이다.
공격 방식: 특수 제작된 HTTP 요청을 Server Function 엔드포인트에 전송하면 역직렬화 과정에서 CPU가 과소비돼 서비스 거부가 유발된다.
영향 범위: Next.js 13.x, 14.x, 15.x, 16.x 전 버전 및 App Router 프레임워크를 사용하는 모든 패키지.
패치 버전: 15.x → 15.5.15 이상, 16.x → 16.2.3 이상으로 즉시 업그레이드.
Vercel은 WAF 규칙을 자동 배포해 호스팅 프로젝트에 임시 보호를 제공하나, 이는 패치의 대체재가 아니다.

상세 정리

취약점 유형: DoS(서비스 거부). CPU 소진으로 정상 서비스 처리를 방해한다.
취약 경로: App Router Server Function 엔드포인트의 HTTP 요청 역직렬화 로직.
공격 조건: 특수 제작된 HTTP 요청 1회로 트리거 가능. 인증 없이 공개 Server Function 엔드포인트에 접근 가능한 환경이라면 외부 공격 표면이 된다.
CVSS 7.5 구성: 원격 공격 가능(네트워크), 인증 불필요, 높은 가용성 영향 — 세 요소가 합쳐져 7.5 점수를 구성한다.
임시 완화: Vercel WAF 규칙 자동 배포 — Vercel 호스팅 프로젝트는 추가 비용 없이 즉시 보호 적용. 단 WAF 우회 가능성이 있어 완전한 해결책이 아니다.
필수 대응: Next.js 15.x → 15.5.15 이상, 16.x → 16.2.3 이상 업그레이드. 13.x·14.x 사용자는 패치 버전으로 메이저 업그레이드 필요.
발표 일자: 2026년 4월 8일 Vercel Security 팀.

왜 읽나Next.js App Router를 프로덕션에 운영하는 팀이라면 즉시 버전 확인 후 패치를 적용해야 하는 긴급 보안 공지 요약.

Vercel Blog 블로그

원문은 여기서 이어서 읽을 수 있어요

원문 읽기

읽음 (0)

·takedown 요청