Next.js
3 artigos com esta tag
Next.js e React têm muitas vulnerabilidades? O que os dados de CVE realmente mostram
Os dados dizem que o núcleo do React quase não tem CVEs, enquanto os CVEs do Next.js são numerosos e estão aumentando. O que importa é onde eles ficam: em middleware, cache, otimização de imagens e Server Actions, com SSRF, desserialização e contorno de autorização no topo dos CWEs. A conclusão deste site: o Next.js não deve ser tratado só como um framework de front-end. Ele roda como servidor, então defenda-o como tal: autorize de novo junto aos dados, use allow-list para requisições de saída e coloque os endpoints de Server Actions atrás de autenticação.
Segurança do Next.js — uma referência de hardening para produção
Os padrões do Next.js são bastante seguros, mas os incidentes acontecem na fronteira servidor/cliente. Esta é uma referência de trabalho: (1) uma lista de verificação de hardening por ordem de prioridade (P0–P2), (2) orientação por área — a fronteira e as variáveis de ambiente (NEXT_PUBLIC_), CVEs de dependências (incluindo RCE no núcleo), autorização em Server Actions / Route Handlers + validação de entrada, SSRF em buscas do lado do servidor, cabeçalhos de segurança/CSP, autenticação/sessão/cookies, limitação de taxa, e (3) uma lista de autoverificação. Apenas defensivo — sem passos de ataque.
Rodando Next.js com segurança: não ficar para trás nos CVEs publicados
O maior risco de framework são CVEs publicados e negligenciados. Defenda com quatro práticas: julgue pela versão em execução, monitore com Dependabot/osv-scanner, atualize rápido e rode com menor privilégio. A visão deste site: o que costuma faltar a desenvolvedores indie não é conhecimento, mas uma forma de manter a operação em andamento; um sistema que não deixa CVEs escaparem importa mais que velocidade.