Next.js: حجب الخدمة بطلب HTTP واحد
أساليب الهجوم وتقنياته2026-10-16, 10:16
اكتشف باحث ثغرة CVE-2026-23870 في مكونات خادم React المستخدمة في Next.js وتطبيقات React الأخرى. تحدث العلة عند معالجة بيانات النموذج التي تُمرر إلى دوال الخادم (Server Actions): بسبب خوارزمية تحليل الإدخال غير الفعالة، ينفذ الخادم عددًا مفرطًا من العمليات. ونتيجة لذلك، حتى طلب HTTP واحد مُصمم خصيصًا يمكن أن يمنع معالجة الطلبات الأخرى لفترة طويلة.
لاستغلال الثغرة، يرسل المهاجم طلب POST يحتوي على عدد كبير من حقول النموذج وإشارات إلى نماذج متداخلة. عند معالجة كل إشارة من هذا القبيل، يقوم React بمسح قائمة الحقول بالكامل مرة أخرى، مما يؤدي إلى نمو تعقيد المعالجة بشكل تربيعي. في الدراسة، أدى طلب بحجم يقارب 900 كيلوبايت إلى تشغيل حوالي 100 مليون فحص نصي وإيقاف معالجة الطلبات الأخرى لمدة أربع ثوانٍ تقريبًا في تكوين الاختبار. في بيئة بها موازن تحميل، تسببت ثلاثة طلبات متتالية في إزالة الخادم من مجموعة العقد المتاحة.
يمكن للمهاجم تعطيل توفر تطبيقات الويب عن طريق حجب معالجة الطلبات المشروعة وإثارة أخطاء 503. إذا كانت دالة الخادم المعرضة للثغرة يمكن الوصول إليها دون مصادقة، فيمكن تنفيذ الهجوم دون حساب؛ وإلا فقد يلزم حساب مستخدم عادي. تكرار الطلبات يمكن أن يمدد انقطاع الخدمة ويعطل الخدمة لمستخدمين آخرين.
الثغرات
الباحثون
المنتجات