tag
SSRF
이 태그가 달린 문서 3건
2026-08-22
Next.js와 React는 취약점이 많은가? CVE 데이터가 실제로 보여 주는 것
데이터에 따르면 React 본체의 CVE는 거의 없고, Next.js의 CVE는 많으며 늘고 있다. 중요한 것은 그 위치다. 미들웨어, 캐시, 이미지 최적화, Server Actions에 몰려 있고, CWE는 SSRF, 역직렬화, 인가 우회가 상위다. 이 사이트의 결론: Next.js를 프런트엔드 프레임워크로만 다뤄서는 안 된다. 서버로 동작하므로 서버처럼 지킨다. 데이터 앞에서 다시 인가하고, 외부 요청 대상을 허용 목록으로 제한하고, Server Action 엔드포인트를 인증 뒤에 둔다.
2026-06-07
SSRF(Server-Side Request Forgery)란
SSRF는 외부 입력 URL을 악용해 서버가 내부 자원(내부 IP, 클라우드 메타데이터)에 접근하게 만듭니다. URL을 가져오는 기능이 있다면, 목적지 허용 목록, 내부 대상 차단, 그리고 리디렉션/DNS 리바인딩 우회에 대한 대책이 필요합니다. Capital One 침해의 원인이었습니다.
위험2026-06-07
Capital One 데이터 유출 사고(2019) — 단 하나의 SSRF가 1억 건이 넘는 기록을 유출시킨 경위와 방어법
단 하나의 SSRF가 메타데이터 엔드포인트에 도달 → 과도한 권한의 IAM 임시 자격 증명 → S3 일괄 복사로 약 1억 600만 건이 유출되었습니다. 어느 단계에서든 막을 수 있었습니다. 여러분의 환경에서는 IMDSv2, IAM 최소 권한, 그리고 아웃바운드 조회에 대한 허용 목록이 핵심입니다.