Skip to content
KitploitKITPLOIT
أدواتالمدونة
إرسال
أدواتالمدونة
إرسال

أدوات الاختراق واختبار الاختراق والأمن السيبراني لترسانتك الأمنية!

Kitploit هو دليل لأدوات الاختراق والأمن السيبراني واختبار الاختراق. اكتشف آخر تحديثات المشاريع للعثور على الثغرات وتحليل الأنظمة وأتمتة الاختبارات وتعزيز أمنك.

··الخلاصات·اتصال·الخصوصية·© 2026 Kitploit

دليل الأدوات

الفئات

عرض جميع الفئات
Loading categories
CVE-2025-32421 — عرض شامل لتقنية Eclipse CVE-2025-32421 - هجوم سباق متطور ضد Next.js 15.0.4 يتجاوز التصحيح الأصلي لـ CVE-2024-46982. | Kitploit
أدوات/GitHubGitHub/hidesec/cve-2025-32421
تحليل الثغرات الأمنيةالاستغلالاستغلال تطبيقات الويباختبار الاختراقالتعلم والتعليممختبرات وتدريب عملي
GitHubhidesec/cve-2025-32421

CVE-2025-32421

عرض شامل لتقنية Eclipse CVE-2025-32421 - هجوم سباق متطور ضد Next.js 15.0.4 يتجاوز التصحيح الأصلي لـ CVE-2024-46982.

عرض المستودع
11منذ 11 أشهرلم تتم المراجعة بعد

الأكثر شعبية

عرض الكل →

اكتشف الأدوات الأكثر استخدامًا من قبل مجتمعنا.

استكشف جميع الأدوات

تصفح مجموعتنا من الأدوات

عرض جميع الأدوات →
مشاركة

مختبر تقنية Eclipse لثغرة CVE-2025-32421

عرض شامل لتقنية Eclipse لثغرة CVE-2025-32421 - هجوم سباق الحالة المتطور ضد Next.js 15.0.4 الذي يتجاوز التصحيح الأصلي لثغرة CVE-2024-46982.

تحذير - للأغراض التعليمية فقط

هذا المختبر مصمم حصرياً من أجل:

  • البحث الأمني والتعليم
  • التدريب على تقييم الثغرات
  • فهم نواقل الهجوم
  • تطوير الوعي الأمني

لا تستخدم من أجل:

  • الاختبار غير المصرح به على أنظمة لا تملكها
  • الهجمات الضارة أو الاستغلال
  • بيئات الإنتاج

نظرة عامة على تقنية Eclipse

تستغل تقنية Eclipse سباق حالة في آلية تجميع الوعود (promise batcher) في Next.js 15.0.4، مما يسمح للمهاجمين بمشاركة النتائج المخبأة بين الطلبات وتسريب بيانات حساسة من جانب الخادم كان يجب أن تبقى خاصة.

تفاصيل فنية رئيسية

  • الهدف: ثغرة تجميع الوعود في Next.js 15.0.4
  • الطريقة: سباق حالة عبر طلبات متزامنة
  • الناقل: تصادم مفتاح التخزين /_error-0
  • التأثير: كشف بيانات حساسة من جانب الخادم

هيكل المستودع

root@kitploit:~
CVE-2025-32421/
├── exploits/
│   ├── cve-2025-32421-eclipse-exploit.js
│   ├── cve-2025-32421-demo.js
│   ├── cve-2025-32421-simple-demo.js
│   └── cve-2025-32421-xss-eclipse.js
├── pages/
│   ├── _app.tsx
│   ├── _app_xss_cve2025.tsx
│   ├── _error.tsx
│   ├── index.tsx
│   └── 404.tsx
├── package.json
├── next.config.js
├── README.md
└── tsconfig.json

بداية سريعة

1. تثبيت التبعيات

root@kitploit:~
npm install

2. تشغيل التطبيق المعرض للخطر

root@kitploit:~
npm start

3. تشغيل استغلالات Eclipse

عرض Eclipse الأساسي

root@kitploit:~
node exploits/cve-2025-32421-demo.js

استغلال Eclipse الكامل

root@kitploit:~
node exploits/cve-2025-32421-eclipse-exploit.js

هجوم XSS + Eclipse المشترك

root@kitploit:~
node exploits/cve-2025-32421-xss-eclipse.js --demo
node exploits/cve-2025-32421-xss-eclipse.js

تقنيات الاستغلال

1. سباق حالة Eclipse (CVE-2025-32421)

  • نسبة النجاح: 100% (50/50 اختبار)
  • كشف البيانات: إعدادات المراقبة، تفضيلات المسؤول
  • الناقل: تصادم تجميع الوعود

2. XSS + Eclipse المشترك

  • نسبة النجاح: 100% (6/6 حمولات)
  • ناقل XSS: معالجة غير آمنة لملفات تعريف الارتباط
  • تسريب البيانات: Sentry DSN، إعدادات المسؤول
  • التأثير: حرج - اختراق كامل محتمل

نتائج الاختبار

أداء تقنية Eclipse

root@kitploit:~
استغلال تجميع الوعود: نجاح 100%
معدل كشف البيانات: 50/50 محاولة
تسريب إعدادات المراقبة: نعم
كشف تفضيلات المسؤول: نعم
موثوقية سباق الحالة: ممتاز

XSS + Eclipse المشترك

root@kitploit:~
نجاح حقن XSS: 6/6 حمولات
كشف بيانات Eclipse: 100%
معدل الهجوم المشترك: 100%
ثغرة حرجة: مُؤكَّد

تفاصيل الثغرة

تأثير CVE-2025-32421

  • الخطورة: حرجة
  • درجة CVSS: 9.0+ (تقديري)
  • ناقل الهجوم: شبكة
  • التعقيد: منخفض
  • المصادقة: غير مطلوبة

البيانات المكشوفة

  • مفاتيح المراقبة/Sentry DSN
  • تفضيلات وضع المسؤول
  • بيانات جلسة المستخدم
  • الإعدادات الداخلية
  • متغيرات البيئة

التنفيذ التقني

سباق حالة Eclipse

  1. الطلبات المتزامنة: طلبات متعددة لتحفيز مشاركة الوعود
  2. تصادم التخزين المؤقت: التلاعب بمفتاح التخزين /_error-0
  3. تسريب البيانات: كشف بيانات الخادم في استجابات العميل
  4. تصعيد الامتيازات: كشف وضع المسؤول واستغلاله

تكامل XSS

  1. حقن ملفات تعريف الارتباط: معالجة غير آمنة لمعامل theme
  2. محاكاة المسؤول: ملف تعريف ارتباط role=admin لامتيازات مرتفعة
  3. استخراج البيانات: تنفيذ JavaScript للحصول على بيانات المراقبة
  4. الاستمرارية: نواقل XSS متعددة لضمان الموثوقية

المعالجة

الإصلاحات الفورية

  1. ترقية Next.js: التحديث إلى أحدث إصدار
  2. تعقيم المدخلات: التحقق من جميع مدخلات المستخدم في getInitialProps
  3. سياسة أمان المحتوى: تطبيق رؤوس CSP صارمة
  4. التحقق من ملفات تعريف الارتباط: تعقيم جميع قيم ملفات تعريف الارتباط
  5. تحديد المعدل: منع هجمات سباق الحالة

أفضل الممارسات الأمنية

  • إزالة البيانات الحساسة من التعريض من جانب العميل
  • تنفيذ إدارة جلسات مناسبة
  • إضافة مراقبة لأنماط الطلبات المشبوهة
  • تدقيق أمني دوري واختبار اختراق

المراجع

  • CVE-2025-32421: بحث Eclipse على Next.js
  • الثغرة الأصلية CVE-2024-46982: ثغرة SSR في Next.js
  • أمان Next.js: الإرشادات الأمنية الرسمية

إسناد البحث

يعتمد هذا البحث على توثيق تقنية Eclipse من zhero-web-sec. يوضح التطبيق كلاً من هجوم Eclipse الأصلي وصيغة محسنة مدمجة مع XSS.

إخلاء مسؤولية قانوني

هذا الكود مقدم للأغراض التعليمية والبحثية فقط. يتحمل المستخدمون مسؤولية الامتثال لجميع القوانين المعمول بها والحصول على التصريح المناسب قبل الاختبار. لا يتحمل المؤلفون أي مسؤولية عن سوء استخدام هذا البرنامج.

الحالة: تنفيذ كامل (نسبة نجاح 100%)
آخر تحديث: 10 أكتوبر 2025
الثغرة: CVE-2025-32421 + XSS مشترك
الإطار: Next.js 15.0.4

تنزيل الأداة