CVE-2025-66478-Exploit-Poc — استغلال إثبات مفهوم لـ Next.js CVE-2025-66478، يوضح تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر إلغاء التسلسل غير الآمن وتلوث النموذج الأولي في Server Actions. يتضمن تطبيقًا معرضًا للخطر وسكربت استغلال بلغة Python لأغراض البحث الأمني. | Kitploit

sequenceDiagram
    participant Attacker
    participant Server as Next.js Server
    
    Attacker->>Server: POST / (JSON with "__proto__": {"then": ...})
    Note right of Server: JSON Parsing Pollutes Object.prototype
    
    Server->>Server: Application Logic encounters an Object
    
    rect rgb(200, 150, 150)
    Note right of Server: "Thenable" Check Gadget
    Server->>Server: Checks: typeof obj.then === 'function'?
    Server-->>Server: YES (due to pollution)
    end
    
    Server->>Server: Await/Execute malicious .then()
    Note right of Server: Malicious JS Code Runs (RCE)
    
    Server-->>Attacker: Response (Action Redirect / Error info)

انتقل إلى مجلد next.js:
```
cd next.js
```

ثبّت التبعيات:

npm install
# You can also use yarn or pnpm.

شغّل خادم التطوير:
```
npm run dev
```
تحقق من إمكانية الوصول إلى http://localhost:3000 عبر متصفحك.

انتقل إلى مجلد exploit من جذر المشروع:
```
cd exploit
```
(اختياري) يُنصح باستخدام بيئة افتراضية:
```
python3 -m venv venv
source venv/bin/activate  # For Windows: venv\Scripts\activate
```
ثبّت المكتبات اللازمة: مكتبة requests مطلوبة.
```
pip install requests
```
شغّل السكربت:
```
python main.py
```
بشكل افتراضي، يستهدف العنوان المحلي (http://localhost:3000). لاختبار عنوان مختلف، استخدم خيار --url:
```
python main.py --url http://target-ip:3000
```

معرّف CVE	CVE-2025-66478
النوع	تنفيذ كود برمجي عن بُعد (RCE)
السبب الجذري	إلغاء تسلسل غير آمن في بروتوكول RSC Flight
الخطورة (CVSS)	10.0 (حرجة)
التأثير	تنفيذ أوامر نظام عشوائية على الخادم

CVE-2025-66478-Exploit-Poc

الأكثر شعبية

آلية الهجوم (تفاصيل تقنية)

الإصدارات المتأثرة

المراجع

هيكل الملفات

المتطلبات الأساسية

1. تشغيل تطبيق Next.js

2. تشغيل سكربت الاستغلال بلغة Python

إخلاء المسؤولية