CVE-2026-75604

Resumen

Next.js es un framework de React para crear aplicaciones web full-stack. Desde la versión 13.4.0 hasta la 15.5.24 y la 16.3.3, las aplicaciones Next.js que usan Pages Router o App Router sin Cache Components en servidores alojados en Windows no escapan de forma consistente las barras invertidas en los segmentos de ruta antes de construir las rutas de caché incremental. En packages/next/src/shared/lib/router/utils/escape-path-delimiters.ts y packages/next/src/server/lib/incremental-cache/file-system-cache.ts, una solicitud remota puede suministrar separadores de ruta de Windows codificados que atraviesan la raíz de caché prevista y exponen datos privados de compilación, incluida la clave de cifrado de server-reference-manifest. La divulgación de esa clave puede permitir la ejecución remota de código en la aplicación afectada. Este problema se corrige en las versiones 15.5.24 y 16.3.3.

• Project-CVE-2026-75604Exploit

  Framework de explotación basado en Python para CVE-2026-75604, que permite a pentesters autorizados validar vulnerabilidades de traversal de caché en Next.js para Windows con despliegue de reverse shell y webshell, verificación de objetivos y soporte de proxy.

• CVE-2026-75604PoC

  Prueba de concepto del exploit para CVE-2026-75604, una RCE no autenticada en Next.js alojado en Windows mediante path traversal en la caché y una Server Action falsificada, para pruebas de seguridad autorizadas.