CVE-2025-66478-Exploit-Poc — Proof-of-Concept-Exploit für Next.js CVE-2025-66478, der RCE durch unsichere Deserialisierung und Prototype Pollution in Server Actions demonstriert. Enthält eine verwundbare Anwendung und ein Python-Exploit-Skript für Sicherheitsforschung. | Kitploit

sequenceDiagram
    participant Attacker
    participant Server as Next.js Server
    
    Attacker->>Server: POST / (JSON with "__proto__": {"then": ...})
    Note right of Server: JSON Parsing Pollutes Object.prototype
    
    Server->>Server: Application Logic encounters an Object
    
    rect rgb(200, 150, 150)
    Note right of Server: "Thenable" Check Gadget
    Server->>Server: Checks: typeof obj.then === 'function'?
    Server-->>Server: YES (due to pollution)
    end
    
    Server->>Server: Await/Execute malicious .then()
    Note right of Server: Malicious JS Code Runs (RCE)
    
    Server-->>Attacker: Response (Action Redirect / Error info)

Navigieren Sie in das Verzeichnis next.js:
```
cd next.js
```
Installieren Sie die Abhängigkeiten:
```
npm install
# You can also use yarn or pnpm.
```
Starten Sie den Entwicklungsserver:
```
npm run dev
```
Stellen Sie sicher, dass Sie http://localhost:3000 über Ihren Browser erreichen können.

Navigieren Sie vom Projektstamm aus in das Verzeichnis exploit:
```
cd exploit
```

(Optional) Die Verwendung einer virtuellen Umgebung wird empfohlen:

python3 -m venv venv
source venv/bin/activate  # For Windows: venv\Scripts\activate

Installieren Sie die benötigten Bibliotheken: Das Modul requests wird benötigt.
```
pip install requests
```
Führen Sie das Skript aus:
```
python main.py
```
Standardmäßig ist die lokale Adresse (http://localhost:3000) das Ziel. Um eine andere Adresse zu testen, verwenden Sie die Option --url:
```
python main.py --url http://target-ip:3000
```

CVE-ID	CVE-2025-66478
Typ	Remote Code Execution (RCE)
Grundursache	Unsichere Deserialisierung im RSC Flight-Protokoll
Schweregrad (CVSS)	10.0 (Kritisch)
Auswirkung	Ausführung beliebiger Systembefehle auf dem Server

CVE-2025-66478-Exploit-Poc

Beliebteste

Angriffsmechanismus (technisches Detail)

Betroffene Versionen

Referenzen

Dateistruktur

Voraussetzungen

1. Ausführen der Next.js-Anwendung

2. Ausführen des Python-Exploits

Haftungsausschluss