UPD - Сообщают о еще одном случае

Есть подозрение еще на 2 сервера в standalone next-server в тонком оптимизированном Docker контейнере с ограниченными правами.
Через профайлинг удалось выяснить что нагрузка вся ложится в middleware слое, а так же были ошибки обработки в заголовках, которые могли бы использоваться для эксплуатации уязвимости.
Теоретически - вполне возможно майнер запустить прям в рантайме процесса next-server через WASM
Возможно не майнер конечно, но вполне могут быть последствия попытки взлома тк версия уязвима к ним

Итого: 4 инцидента

Этому багу 4 месяца, но вскрылся только сейчас, тк сайт заметили боты и стали пробовать искать уязвимсти, вскрыв баг на одном из даже неиспользуемых в проекте адресов, на которых есть один механизм в nextjs, который мы тоже не используем

От того сложно было выявить проблему, пришлось из оперативной памяти сервера делать снимок и разбирать его, в поисках причины

Валидацией языка занимается middleware, в котором исключены служебные пути nextjs среди которых есть и api

И тогда отправив запрос на api, который у нас не используется - middleware с валидацией пропускается, сразу api забирается как язык, но дальнейший рендеринг попадает в layout и не находит страницу соответствующуб, начинает рендерить 404 ошиибку, которая зависит языка, а язык у нас уже утвержден как API - 404 ошибка запрашивает такой язык, из-за чего происходит новая ошибка, уже 500, она тоже у нас тилизована, начинает рендериться, по уже утвержденному языку вызывает локаль api и снова вызывает ошибку, а дальше бесконечный круг на 500 ошибке

Дело даже не в нагрузке, а просто одного запроса достаточно чтобы вызывать замкнутый круг в котором зависает сервер