📌 最致命的漏洞，来自最低级的错误【让编程再次伟大#35】 - YouTube

Original URL: https://youtu.be/z_okAyOM_m8

📌 最致命的漏洞，来自最低级的错误【让编程再次伟大#35】 - YouTube

⓵ 【容易懂 Easy Know】：想像你家門口有個警衛（中間件），他會檢查每個要進來的人（請求）的身分證（Header），確認是不是壞人（未授權請求）。有個笨蛋工程師在警衛室旁邊開了個後門，還貼了張紙條說：「有這張紙條的人就不用檢查身分證！」（特殊Header）。結果壞人撿到這張紙條，大搖大擺地走進你家偷東西。後來工程師發現了，不是把後門關掉，而是換了一張更複雜的紙條，但其實還是有漏洞。最後，工程師乾脆把紙條撕掉，後門也關了，叫你自己想辦法。這故事告訴我們，不要相信免費的東西，背後可能藏著陷阱喔！

---
⓶ 【總結 Overall Summary】：影片講述了知名前端框架 NestJS 在 2025 年爆發的一個嚴重安全漏洞事件。該漏洞源於 Vercel 公司為了給自家雲服務打造「護城河」而設計的特殊架構，具體來說，NestJS 的中間件會在 Vercel 的 CDN 上執行，為了避免重定向時陷入死循環，Vercel 的工程師設計了一個通過檢查 HTTP Header 來繞過中間件的機制。然而，這個機制存在嚴重的安全漏洞，因為任何人都可以偽造這個 Header，從而繞過身份驗證、DDoS 防禦等安全措施，進行各種攻擊。

更令人匪夷所思的是，Vercel 在收到漏洞報告後，花了 17 天才推出第一個補丁，而這個補丁只是簡單地添加了一個新的、隨機生成的 Header，試圖驗證請求的來源。這個補丁不僅效率低下，還可能因為 CDN 的分布式特性而失效，甚至引入新的問題。最終，Vercel 選擇直接刪除整個 Header 繞過機制，放棄解決死循環問題，讓開發者自行處理。

影片將這個事件與十多年前 Joyent 公司控制 Node.js 的事件相提並論，指出 Vercel 也在試圖通過控制 NestJS 和 React 等開源項目，為自家的雲服務引流。影片最後提醒觀眾，天下沒有免費的午餐，在使用這些開源工具時，也要警惕背後可能存在的商業陷阱。
---
⓷ 【觀點 Viewpoints】：

* NestJS 漏洞的根源在於 Vercel 為了給自家雲服務打造護城河，而設計的特殊架構，導致安全漏洞。
* 通過 HTTP Header 繞過中間件的機制，存在嚴重的安全風險，因為 Header 可以被任何人偽造。
* Vercel 對漏洞的修復方案不夠專業，不僅效率低下，還可能引入新的問題。
* Vercel 正在試圖通過控制 NestJS 和 React 等開源項目，為自家的雲服務引流。
* 開發者在使用開源工具時，需要警惕背後可能存在的商業陷阱。

---
⓸ 【摘要 Abstract】：

✅ NestJS 爆發嚴重安全漏洞，CVSS 評分高達 9.1。
⚠️ 漏洞源於 Vercel 為雲服務設計的特殊架構，允許通過 Header 繞過中間件。
📌 任何人都可以偽造 Header，繞過身份驗證和安全防護。
🤯 Vercel 的補丁方案不夠專業，甚至引入新問題。
🗑️ 最終 Vercel 直接刪除 Header 繞過機制，讓開發者自行處理死循環問題。
🔄 Vercel 試圖通過控制開源項目，為自家雲服務引流。
🧐 使用開源工具需警惕背後的商業陷阱。

---
⓹ 【FAQ 測驗】：

1. NestJS 漏洞的主要原因是？
A) 編譯器錯誤 B) 開源協議不完善 C) Vercel 為雲服務設計的特殊架構 D) 駭客攻擊
答案：C) Vercel 為雲服務設計的特殊架構 (該架構為了避免死循環引入了可被偽造的 Header 機制)

2. Vercel 對於漏洞的第一個修復方案是什麼？
A) 直接關閉有問題的中間件 B) 添加驗證請求來源的隨機 Header C) 要求用戶升級伺服器 D) 懸賞徵求更好的解決方案
答案：B) 添加驗證請求來源的隨機 Header (但這個方案存在效率和可靠性的問題)

3. 影片將 Vercel 控制開源項目的行為，與哪個公司控制 Node.js 的事件相提並論？
A) Google B) Microsoft C) Joyent D) Facebook
答案：C) Joyent (Joyent 也是通過控制開源項目為自家雲服務引流)

✡ Oli小濃縮 Summary bot 為您濃縮重點 ✡

â–¶ https://youtu.be/z_okAyOM_m8