React

Next.js 和 React 的漏洞很多嗎？CVE 資料實際顯示的情況

資料顯示，React 核心幾乎沒有 CVE，而 Next.js 的 CVE 數量很多且持續增加。重要的是它們出現在哪裡：集中在 middleware、快取、圖片最佳化和 Server Actions，CWE 以 SSRF、反序列化和授權繞過為首。本站的結論：不應該只把 Next.js 當成前端框架。它是以伺服器的形式執行的，所以要像防禦伺服器一樣防禦它：在存取資料前再次授權、為對外請求設定允許清單、讓 Server Action 端點受到驗證保護。