Estructura del repositorio

Inicio rápido

1. Instalar dependencias

2. Iniciar la aplicación vulnerable

3. Ejecutar los exploits de Eclipse

Demo básica de Eclipse

Explotación completa de Eclipse

Ataque combinado XSS + Eclipse

Técnicas de explotación

1. Condición de carrera Eclipse (CVE-2025-32421)

• Tasa de éxito: 100% (50/50 pruebas)
• Exposición de datos: Configuración de monitoreo, preferencias de administrador
• Vector: Colisión del agrupador de promesas

2. Combinación de XSS + Eclipse

• Tasa de éxito: 100% (6/6 payloads)
• Vector XSS: Manejo inseguro de cookies
• Fuga de datos: Sentry DSN, ajustes de administrador
• Impacto: Crítico - Compromiso total posible

Resultados de las pruebas

Rendimiento de la técnica Eclipse

Combinación de XSS + Eclipse

Detalles de la vulnerabilidad

Impacto de CVE-2025-32421

• Gravedad: Crítica
• Puntuación CVSS: 9.0+ (estimada)
• Vector de ataque: Red
• Complejidad: Baja
• Autenticación: No requerida

Exposición de datos

• Claves DSN de monitoreo/Sentry
• Preferencias del modo administrador
• Datos de sesión de usuario
• Configuración interna
• Variables de entorno

Implementación técnica

Condición de carrera Eclipse

1. Peticiones simultáneas: Múltiples peticiones para activar el uso compartido de promesas
2. Colisión de caché: Manipulación del cacheKey /_error-0
3. Fuga de datos: Datos del lado del servidor expuestos en respuestas al cliente
4. Escalada de privilegios: Detección y explotación del modo administrador

Integración de XSS

1. Inyección de cookies: Manejo inseguro del parámetro theme
2. Simulación de administrador: Cookie role=admin para privilegios elevados
3. Extracción de datos: Ejecución de JavaScript para datos de monitoreo
4. Persistencia: Múltiples vectores XSS para mayor fiabilidad

Remediación

Correcciones inmediatas

1. Actualizar Next.js: Aplicar el parche a la última versión
2. Sanitización de entradas: Validar todas las entradas de usuario en getInitialProps
3. Política de Seguridad del Contenido: Implementar cabeceras CSP estrictas
4. Validación de cookies: Sanitizar todos los valores de cookies
5. Limitación de velocidad: Prevenir ataques de condición de carrera

Buenas prácticas de seguridad

• Eliminar la exposición de datos sensibles en el lado del cliente
• Implementar una gestión de sesiones adecuada
• Añadir monitoreo de patrones de peticiones sospechosas
• Auditorías de seguridad periódicas y pruebas de penetración

Referencias

• CVE-2025-32421: Investigación sobre Eclipse en Next.js
• CVE-2024-46982 original: Vulnerabilidad SSR de Next.js
• Seguridad de Next.js: Directrices oficiales de seguridad

Créditos de la investigación

Esta investigación se basa en la documentación de la técnica Eclipse de zhero-web-sec. La implementación demuestra tanto el ataque Eclipse original como una variante mejorada combinada con XSS.

Aviso legal

Este código se proporciona únicamente con fines educativos y de investigación. Los usuarios son responsables de garantizar el cumplimiento de todas las leyes aplicables y de obtener la autorización adecuada antes de realizar pruebas. Los autores no asumen ninguna responsabilidad por el mal uso de este software.

Estado: Implementación completa (100% de tasa de éxito)
Última actualización: 10 de octubre de 2025
Vulnerabilidad: CVE-2025-32421 + XSS combinado
Framework: Next.js 15.0.4