TGViewer
Cododel.dev | Александр Cododel.dev | Александр @cododel_dev · 222 subscribers
Post #983 89
Alexander | Cododel.dev То была не уязвимость NextJS, а уязвимость системы локализации на проекте в виде бага, вот пост мортем: Этому багу 4 месяца, но вскрылся только сейчас, тк сайт заметили боты и стали пробовать искать уязвимсти, вскрыв баг на одном из даже неиспользуемых в…
отчет намеренно упрощенный для заказчика, а на самом деле выявляется проблема так:

я в контейнере установил socat, запустил дебаггер nodejs, прокинул порт на локльную машину, по ssh открыл туннель к контейнеру через соединение с сервером, на ноуте через Chrome Remote NodeJS Debug Tools запустил Profiler, в нем отсортировал BottomUp по Self Time, взял самый долгий вызов, открыл файл рантайма исодников на строке, через дебаггер с брейкпоинтами и отлов исключений выявил проблемный path запроса и компонент, который в этот момент рендерится, какие вызовы происходят.

Оказалось это /api, рендерится компонент 404, проблема рядом с i18next.

Локальная проверка дала положительный результат, фронт ложится с одного запроса, и только с /api
Детальный анализ исходников показал что у нас просто не используется в проекте /api, так что путь [locale] отлавливал его как локаль вобход middleware, который должен валидировать локали, и сразу попадал в рендер, зависимый от локали и вызывал Exception Loop

Вотъ и фсё.

Думаю это будет эталоном построения логических цепочек, на котором я буду учить людей 😅
Кто еще не умеет дебажить - пишите, научу, дорого 👐
More from @cododel_dev
  1. Sep 21, 2026Ого какие вакансии бывают Больше удивлен что предложения на почти пустой линкдин приходят…
  2. Sep 15, 2026Все что нужно знать сегодня о “недоступно в вашей стране” 😐
  3. Sep 15, 2026Post #1153
  4. Sep 14, 2026200 🤝 Всех новоприбывших обнял-приподнял Умного пока ничего не придумал, чем хотел бы сро…
  5. Sep 3, 2026~/.agents — Или как устроен мой агентский воркфлоу Не знаю шарится ли кто-то по таким репо…
  6. Sep 2, 2026Прикол, а я как лох 200$ плачу... Без рофла, где они такие цены на codex берут? https://t.…
Threads Profile ViewerView any public Threads profile without an account.Open ThreadLook →Writing with AI? Make it sound human.Metric37 rewrites AI drafts so they read naturally. Free AI detector, 1,500 words free.Try Metric37 →