Опубликовано Роном Е 3 сентября. Next.js 16.4.0-canary.13 содержит уязвимость DNS rebinding TOCTOU Server-Side Request Forgery в функции Image Optimizer's fetchExternalImage().Next.js пытается предотвратить запросы к ресурсам частной сети, разрешая предоставленное имя хоста и проверяя полученные адреса с помощью isPrivateIp():const records = await lookup(hostname, { family: 0, all: true, hints: ALL, })const privateIps = records.map((record)...