Catatan teknis seputar web development, DevOps, dan integrasi AI.
1 artikel
Konfigurasi remotePatterns wildcard menjadikan /_next/image proxy fetch terbuka. Pola penutupannya: local-only, satu host eksplisit, uji negatif.
TL;DR: Konfigurasi Next.js KotaPortal pakai wildcard hostname plus CSP img-src https global, alhasil endpoint /_next/image bisa jadi proxy terbuka rawan SSRF. Solusinya, remotePatterns dihapus total dan CSP dipersempit, host eksternal yang emang dibutuhkan ditambahin eksplisit satu-satu. Biar nggak balik lagi, ada tes otomatis yang mastiin URL asal dikasih 400, bukan 200.