🚨 CVE-2026-44578 — Vulnerabilidad SSRF en Next.js

📌 Resumen

CVE-2026-44578 es una vulnerabilidad de alta gravedad de falsificación de solicitudes del lado del servidor (SSRF) que afecta aplicaciones Next.js auto-alojadas.

Los atacantes pueden explotar solicitudes de actualización WebSocket manipuladas para forzar al servidor a realizar solicitudes salientes a sistemas internos o externos.

⚠️ Impacto

Esta vulnerabilidad puede permitir a los atacantes acceder a:

🧠 Flujo del ataque

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 Versiones afectadas

🛡 Mitigación

✅ Acciones inmediatas

• Actualizar Next.js inmediatamente
• Restringir el tráfico saliente
• Bloquear puntos finales de metadatos (169.254.169.254)
• Filtrar encabezados de actualización maliciosos
• Evitar exponer next start directamente

🔥 Ejemplo de solicitud maliciosa

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 Ideas de detección

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

Monitorear:

• Solicitudes salientes inesperadas
• Direccionamiento a IP internas
• Actualizaciones WebSocket sospechosas
• Intentos de acceso al servicio de metadatos

🔧 Protección recomendada con proxy inverso

Ejemplo de NGINX

if ($http_upgrade = "websocket") {
    return 403;
}

📚 Referencias

🚀 Actualice inmediatamente

Proteja la infraestructura interna antes de la explotación