🚨 CVE-2026-44578 — ثغرة SSRF في Next.js

صورة ChatGPT بتاريخ 16 مايو 2026، 03:30:11 مساءً

📌 نظرة عامة

CVE-2026-44578 هي ثغرة عالية الخطورة من نوع تزوير الطلب من جانب الخادم (SSRF) تؤثر على تطبيقات Next.js المستضافة ذاتياً.

يمكن للمهاجمين استغلال طلبات ترقية WebSocket المصممة خصيصًا لإجبار الخادم على إجراء طلبات صادرة إلى أنظمة داخلية أو خارجية.

⚠️ التأثير

قد تسمح هذه الثغرة للمهاجمين بالوصول إلى:

الهدف	المخاطرة
🔐 واجهات API داخلية	وصول داخلي غير مصرح به
☁️ نقاط البيانات الوصفية السحابية	كشف بيانات الاعتماد
🖥 واجهات إدارية	تصعيد الامتيازات
🌐 موارد الشبكة	استطلاع داخلي

🧠 تدفق الهجوم

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 الإصدارات المتأثرة

الحالة	الإصدارات
❌ ضعيفة	13.4.13 → < 15.5.16
❌ ضعيفة	16.x → < 16.2.5
✅ معالجة	15.5.16+
✅ معالجة	16.2.5+

🛡 التخفيف

✅ إجراءات فورية

ترقية Next.js فورًا
تقييد حركة المرور الصادرة
حظر نقاط البيانات الوصفية (169.254.169.254)
تصفية رؤوس الترقية الخبيثة
تجنب كشف next start مباشرةً

🔥 مثال لطلب ضار

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 أفكار للكشف

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

راقب ما يلي:

طلبات صادرة غير متوقعة
استهداف عناوين IP داخلية
ترقيات WebSocket مشبوهة
محاولات الوصول إلى خدمة البيانات الوصفية

🔧 حماية وكيل عكسي موصى بها

مثال لـ NGINX

if ($http_upgrade = "websocket") {
    return 403;
}

📚 المراجع

المصدر	الرابط
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-44578
GitHub Advisories	https://github.com/vercel/next.js/security/advisories
Next.js

CVE-2026-44578

الأكثر شعبية