CVE-2026-42047

Inngest는 대기열, 재시도 및 단계 오케스트레이션을 통해 이벤트 기반 및 예약된 백그라운드 기능을 실행하기 위한 플랫폼입니다. 버전 3.22.0~3.53.1에는 인증되지 않은 원격 공격자가 Serve() HTTP 핸들러를 통해 호스트 프로세스에서 환경 변수를 유출할 수 있는 취약점이 포함되어 있습니다. Serve() 핸들러는 GET, POST 및 PUT 메소드를 구현합니다. PATCH, OPTIONS 또는 DELETE를 사용하는 요청은 진단 정보를 반환하는 일반 처리기로 전달됩니다. v3.22.0에 도입된 변경 사항으로 인해 이 진단 응답에는 process.env의 콘텐츠가 포함되어 환경에 있는 모든 비밀, API 키 또는 자격 증명이 노출되었습니다. PATCH, OPTIONS 또는 DELETE 요청을 통해 Serve() 엔드포인트에 도달할 수 있는 경우 애플리케이션은 취약합니다. 이는 Next.js Pages Router 또는 Express의 app.use(...)와 같은 설정에서 일반적입니다. GET, POST 및 PUT만 내보내는 Next.js 앱 라우터 핸들러와 연결 작업자 메서드를 사용하는 애플리케이션은 영향을 받지 않습니다. 이 문제는 버전 3.54.0에서 수정되었습니다. 업그레이드가 즉시 가능하지 않은 경우 이 문제를 해결하려면 프레임워크 또는 역방향 프록시 계층에서 GET, POST 및 PUT만 허용하도록 Serve() 끝점을 제한하십시오. Ingest Serve() 엔드포인트에는 다른 HTTP 메소드가 필요하지 않습니다.