🛡️ Sentinel: [CRITICAL] 호스트 헤더 인젝션 취약점 수정

[seonghobae]

🚨 Severity: CRITICAL
💡 Vulnerability: API 경로 내부에서 클라이언트가 조작 가능한 호스트 헤더를 바탕으로 절대 경로(req.nextUrl.origin)를 생성하여, 비밀번호 재설정 링크 및 인증 콜백 과정에서 발생할 수 있는 호스트 헤더 인젝션(Host Header Injection) 취약점을 발견하였습니다.
🎯 Impact: 공격자가 악의적으로 호스트 헤더를 변조하면, 사용자가 공격자의 서버로 리다이렉트되어 인증 정보가 탈취되거나 피싱 공격의 대상이 될 수 있습니다.
🔧 Fix: req.nextUrl.origin의 사용을 제거하고, 신뢰할 수 있는 환경 변수(process.env.NEXT_PUBLIC_SITE_URL)를 참조하도록 변경하였습니다. 또한, next.config.ts 파일에 중복으로 존재하던 headers() 함수를 하나로 통합하여 불필요한 오류를 수정하였습니다.
✅ Verification: pnpm test가 통과하였으며, pnpm build 과정에서 에러가 발생하지 않음을 확인하였습니다.

---

PR created automatically by Jules for task 2582016819372837864 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.