App Router è il moderno modello di routing di Next.js per organizzare i percorsi dell'applicazione, i layout e la gestione delle richieste. Determina come le richieste in arrivo si mappano su pagine, componenti server e gestori di route, quindi si colloca vicino al confine tra l'input dell'utente e la logica lato server. In pratica, lo rende più di una semplice funzione di navigazione: fa parte del flusso di controllo dell'applicazione.
Nel campo della sicurezza informatica, questo è importante perché gli errori nel routing possono influire sull'autenticazione e sulle richieste in uscita. Se i controlli di sicurezza sono legati troppo strettamente al middleware o alle riscritture di App Router, una vulnerabilità può consentire a una richiesta di raggiungere contenuti protetti senza una verifica adeguata. Se i redirect o le riscritture usano valori controllati dalla richiesta, il server può essere indotto a effettuare richieste in uscita non previste, un percorso comune verso SSRF. I difensori dovrebbero considerare la logica di App Router come codice sensibile alla sicurezza, mantenere i controlli di autorizzazione sul lato server e convalidare rigorosamente qualsiasi destinazione dinamica delle route.