То была не уязвимость NextJS, а уязвимость системы локализации на проекте в виде бага, вот пост мортем:

Этому багу 4 месяца, но вскрылся только сейчас, тк сайт заметили боты и стали пробовать искать уязвимсти, вскрыв баг на одном из даже неиспользуемых в проекте адресов, на которых есть один механизм в nextjs, который мы тоже не используем

От того сложно было выявить проблему, пришлось из оперативной памяти сервера делать снимок и разбирать его, в поисках причины

Валидацией языка занимается middleware, в котором исключены служебные пути nextjs среди которых есть и api

И тогда отправив запрос на api, который у нас не используется - middleware с валидацией пропускается, сразу api забирается как язык, но дальнейший рендеринг попадает в layout и не находит страницу соответствующуб, начинает рендерить 404 ошиибку, которая зависит языка, а язык у нас уже утвержден как API - 404 ошибка запрашивает такой язык, из-за чего происходит новая ошибка, уже 500, она тоже у нас тилизована, начинает рендериться, по уже утвержденному языку вызывает локаль api и снова вызывает ошибку, а дальше бесконечный круг на 500 ошибке

Дело даже не в нагрузке, а просто одного запроса достаточно чтобы вызывать замкнутый круг в котором зависает сервер