CVE-2025-66478 Prueba de Concepto

中文版本 / Chinese Version

漏洞概述

CVE-2025-66478 是一个影响 Next.js 应用程序的严重远程代码执行 (RCE) 漏洞，源于 React Server Components (RSC) 协议中的不安全反序列化问题。该漏洞的 CVSS 评分为 10.0（最高级别），允许未经身份验证的攻击者通过特制的 HTTP 请求在易受攻击的服务器上执行任意代码。

技术细节

漏洞根源

该漏洞源于上游 React 实现中的不安全反序列化逻辑（CVE-2025-55182），并影响使用 App Router 的 Next.js 应用程序。问题出在 React Server Components 的 "Flight" 协议中，该协议负责在服务器和客户端之间序列化和反序列化数据。

影响范围

受影响的 Next.js 版本：

Next.js 15.x
Next.js 16.x
Next.js 14.3.0-canary.77 及更高版本的 canary 版本

不受影响的版本：

Next.js 13.x
Next.js 14.x 稳定版
使用 Pages Router 的应用程序
Edge Runtime

攻击向量

攻击者只需向目标服务器发送一个特制的 HTTP 请求，其中包含恶意构造的 RSC payload。当服务器处理这个 payload 时，由于不安全的反序列化逻辑，攻击者控制的数据可以影响服务器端的执行流程，导致任意 JavaScript 代码的执行。

受影响的应用

特别关注： Dify 等 AI 工具成为重灾区，利用成功率较高。这些应用通常使用 Next.js App Router 和 Server Components，因此容易受到此漏洞影响。

常见受影响应用类型：

Dify 等 AI 应用平台
使用 Next.js 15.x/16.x 的 Web 应用
使用 App Router 的 Next.js 应用
使用 React Server Components 的应用

Proof of Concept

免责声明

此工具仅用于教育目的和安全研究。 请勿在未经授权的系统上使用。使用此工具进行任何非法活动均与作者无关。

概念验证脚本

exploit.js 是一个概念验证脚本，演示了如何构造和发送恶意的 RSC payload。这个脚本包含以下功能：

生成恶意 payload：构造利用反序列化漏洞的 RSC payload
发送攻击请求：将恶意 payload 发送到目标服务器
漏洞扫描：扫描目标应用程序中可能存在漏洞的 RSC 端点

使用方法

基本用法

# 执行特定命令
node exploit.js <目标URL> <命令>

# 示例
node exploit.js http://localhost:3000 "whoami"

扫描模式

# 扫描目标应用程序中的 RSC 端点
node exploit.js <目标URL> --scan

# 示例
node exploit.js http://localhost:3000 --scan

Docker 演示环境

为了安全地演示和测试此漏洞，我们提供了一个完整的 Docker 演示环境，包含一个易受攻击的 Next.js 应用程序。

前置要求

Docker 和 Docker Compose
至少 2GB 可用磁盘空间
至少 1GB 可用内存

快速启动

方法 1: 使用启动脚本（推荐）

Windows (PowerShell):

.\setup-demo.ps1

Linux/macOS:

chmod +x setup-demo.sh
./setup-demo.sh

方法 2: 手动启动

# 1. 构建 Docker 镜像
docker-compose build

# 2. 启动容器
docker-compose up -d

# 3. 查看日志（可选）
docker-compose logs -f

访问应用

启动后，等待几秒钟，然后访问：

应用主页: http://localhost:3000
RSC 端点: http://localhost:3000/_rsc

测试漏洞

使用提供的 exploit 脚本测试漏洞：

# 基本测试
node exploit.js http://localhost:3000/_rsc "echo test"

# 执行命令
node exploit.js http://localhost:3000/_rsc "whoami"

# 扫描端点
node exploit.js http://localhost:3000 --scan

环境信息

演示环境包含：

Next.js: 15.0.4 (易受攻击版本)
React: 19.0.0
Node.js: 20 (Alpine Linux)
架构: 使用 App Router 和 Server Components

管理命令

# 查看日志
docker-compose logs -f

# 停止环境
docker-compose down

# 停止并删除数据
docker-compose down -v

# 重启环境
docker-compose restart

安全注意事项

⚠️ 重要警告:

仅用于教育目的: 此环境仅用于学习和安全研究
隔离环境: 容器运行在隔离的网络中，但仍需谨慎
不要暴露到公网: 不要将端口映射到公网 IP
及时清理: 测试完成后及时停止和删除容器
不要在生产环境使用: 此配置包含已知的安全漏洞

测试工具

test-vulnerability.js 是一个用于检测应用程序是否受此漏洞影响的工具。它会执行以下检查：

版本检查：验证 Next.js 版本是否在受影响范围内
端点测试：检查应用程序中可能存在漏洞的 RSC 端点
漏洞验证：使用安全的 payload 测试漏洞是否存在

使用方法

# 测试目标应用程序
node test-vulnerability.js <目标URL>

# 示例
node test-vulnerability.js http://localhost:3000

修复措施

立即修复

升级 Next.js：将 Next.js 升级到最新版本，该版本已修复此漏洞
```
npm install next@latest
# 或
yarn upgrade next@latest
# 或
pnpm update next@latest
```
验证修复：使用 test-vulnerability.js 工具验证修复是否成功
```
node test-vulnerability.js <目标URL>
```

临时缓解措施

如果无法立即升级，可以考虑以下临时缓解措施：

使用 Pages Router：将受影响的路由迁移到 Pages Router，该路由不受此漏洞影响
启用 Edge Runtime：为受影响的路由启用 Edge Runtime，该运行时不受此漏洞影响
```
// 在页面组件或布局中
export const runtime = 'edge';
```

技术细节

漏洞原理

该漏洞利用了 React Server Components "Flight" 协议中的不安全反序列化逻辑。当服务器接收到客户端发送的 RSC 请求时，它会反序列化包含组件数据的 payload。由于反序列化过程中缺乏充分的验证，攻击者可以构造恶意 payload，导致服务器执行任意 JavaScript 代码。

漏洞利用条件

要利用此漏洞，攻击者需要满足以下条件：

目标应用程序使用 Next.js 15.x、16.x 或 14.3.0-canary.77 及更高版本
目标应用程序使用 App Router
攻击者可以向目标服务器发送 HTTP 请求

漏洞影响

成功利用此漏洞可以导致：

远程代码执行 (RCE)
服务器完全控制
数据泄露
服务中断

目标发现

FOFA 搜索语法

# 搜索 Next.js 应用（通用）
body="NEXT_DATA" && body="version"

# 搜索 AI 相关应用（Dify 等）
body="NEXT_DATA" && (body="AI" || body="人工智能" || body="大模型" || body="LLM")

# 搜索 Dify 应用
body="NEXT_DATA" && (body="dify" || title="Dify" || body="dify.ai")

# 组合搜索
body="NEXT_DATA" && (body="AI" || body="人工智能") && domain="edu.cn"

Hunter 搜索语法

# 搜索教育机构中的 Next.js 应用
(web.title="Next.js" OR web.body="NEXT_DATA") && domain="edu.cn"

常见易受攻击端点

/_rsc - React Server Components 端点
/api/rsc - API RSC 端点
/api/chat - Dify 等 AI 工具的聊天端点
/api/completion - 完成端点
/api/v1/chat - API v1 聊天端点
/server-actions - Server Actions 端点

参考资料

Resumen de la Vulnerabilidad

CVE-2025-66478 es una vulnerabilidad crítica de Ejecución Remota de Código (RCE) que afecta a aplicaciones Next.js, derivada de la deserialización insegura en el protocolo React Server Components (RSC). Con una puntuación CVSS de 10.0 (la más alta posible), permite a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables mediante solicitudes HTTP especialmente diseñadas.

Detalles Técnicos

Causa Raíz

La vulnerabilidad se origina en la lógica de deserialización insegura en la implementación ascendente de React (CVE-2025-55182) y afecta a aplicaciones Next.js que utilizan App Router. El problema reside en el protocolo "Flight" de React Server Components, responsable de serializar y deserializar datos entre el servidor y el cliente.

Alcance del Impacto

Versiones de Next.js afectadas:

Next.js 15.x
Next.js 16.x
Next.js 14.3.0-canary.77 y versiones canary posteriores

Versiones no afectadas:

Next.js 13.x
Next.js 14.x versiones estables
Aplicaciones que usan Pages Router
Edge Runtime

Vector de Ataque

Un atacante solo necesita enviar una solicitud HTTP especialmente diseñada que contenga un payload RSC malicioso al servidor objetivo. Cuando el servidor procesa este payload, debido a la lógica de deserialización insegura, los datos controlados por el atacante pueden influir en el flujo de ejecución del lado del servidor, lo que lleva a la ejecución de código JavaScript arbitrario.

Prueba de Concepto

Descargo de Responsabilidad

Esta herramienta es solo para fines educativos e investigación de seguridad. No la utilice en sistemas no autorizados. Cualquier actividad ilegal que utilice esta herramienta no está relacionada con el autor.

Script de Prueba de Concepto

exploit.js es un script de prueba de concepto que demuestra cómo construir y enviar payloads RSC maliciosos. Este script incluye las siguientes funcionalidades:

Generar payload malicioso: Construye payloads RSC que explotan la vulnerabilidad de deserialización
Enviar solicitudes de ataque: Envía payloads maliciosos a servidores objetivo
Escaneo de vulnerabilidades: Escanea aplicaciones objetivo en busca de puntos finales RSC potencialmente vulnerables

Uso

Uso Básico

# Ejecutar comando específico
node exploit.js <url-objetivo> <comando>

# Ejemplo
node exploit.js http://localhost:3000 "whoami"

Modo Escaneo

# Escanear aplicación objetivo en busca de puntos finales RSC
node exploit.js <url-objetivo> --scan

# Ejemplo
node exploit.js http://localhost:3000 --scan

Entorno de Demostración Docker

Para demostrar y probar esta vulnerabilidad de forma segura, proporcionamos un entorno de demostración Docker completo que contiene una aplicación Next.js vulnerable.

Requisitos Previos

Docker y Docker Compose
Al menos 2 GB de espacio libre en disco
Al menos 1 GB de memoria libre

Inicio Rápido

Método 1: Usando Script de Inicio (Recomendado)

Windows (PowerShell):

.\setup-demo.ps1

Linux/macOS:

chmod +x setup-demo.sh
./setup-demo.sh

Método 2: Inicio Manual

# 1. Construir la imagen Docker
docker-compose build

# 2. Iniciar el contenedor
docker-compose up -d

# 3. Ver registros (opcional)
docker-compose logs -f

Acceder a la Aplicación

Después de iniciar, espere unos segundos y luego acceda:

Aplicación: http://localhost:3000
Punto Final RSC: http://localhost:3000/_rsc

Probar la Vulnerabilidad

Use el script exploit proporcionado para probar la vulnerabilidad:

# Prueba básica
node exploit.js http://localhost:3000/_rsc "echo test"

# Ejecutar comando
node exploit.js http://localhost:3000/_rsc "whoami"

# Escanear puntos finales
node exploit.js http://localhost:3000 --scan

Información del Entorno

El entorno de demostración incluye:

Next.js: 15.0.4 (Versión vulnerable)
React: 19.0.0
Node.js: 20 (Alpine Linux)
Arquitectura: Usa App Router y Server Components

Comandos de Gestión

# Ver registros
docker-compose logs -f

# Detener entorno
docker-compose down

# Detener y eliminar datos
docker-compose down -v

# Reiniciar entorno
docker-compose restart

Notas de Seguridad

⚠️ Advertencias Importantes:

Solo con fines educativos: Este entorno es solo para aprendizaje e investigación de seguridad
Entorno aislado: El contenedor se ejecuta en una red aislada, pero aún así tenga cuidado
No exponer a Internet: No asigne puertos a IP pública
Limpiar después del uso: Detenga y elimine los contenedores después de las pruebas
No usar en producción: Esta configuración contiene vulnerabilidades de seguridad conocidas

Herramienta de Prueba

test-vulnerability.js es una herramienta para detectar si una aplicación está afectada por esta vulnerabilidad. Realiza las siguientes comprobaciones:

Verificación de versión: Comprueba si la versión de Next.js está dentro del rango afectado
Prueba de puntos finales: Busca puntos finales RSC potencialmente vulnerables en la aplicación
Verificación de vulnerabilidad: Prueba la vulnerabilidad usando payloads seguros

Uso

# Probar aplicación objetivo
node test-vulnerability.js <url-objetivo>

# Ejemplo
node test-vulnerability.js http://localhost:3000

Remedio

Corrección Inmediata

Actualizar Next.js: Actualice Next.js a la última versión, que incluye una corrección para esta vulnerabilidad
```
npm install next@latest
# o
yarn upgrade next@latest
# o
pnpm update next@latest
```
Verificar la corrección: Use la herramienta test-vulnerability.js para verificar que la corrección se haya aplicado correctamente
```
node test-vulnerability.js <url-objetivo>
```

Mitigaciones Temporales

Si no es posible una actualización inmediata, considere las siguientes mitigaciones temporales:

Usar Pages Router: Migre las rutas afectadas a Pages Router, que no se ve afectado por esta vulnerabilidad
Habilitar Edge Runtime: Habilite Edge Runtime para las rutas afectadas, que no se ve afectado por esta vulnerabilidad
```
// En componente de página o diseño
export const runtime = 'edge';
```

Detalles Técnicos

Mecanismo de la Vulnerabilidad

La vulnerabilidad explota la lógica de deserialización insegura en el protocolo "Flight" de React Server Components. Cuando un servidor recibe una solicitud RSC de un cliente, deserializa el payload que contiene los datos del componente. Debido a una validación insuficiente durante la deserialización, los atacantes pueden construir payloads maliciosos que hacen que el servidor ejecute código JavaScript arbitrario.

Condiciones de Explotación

Para explotar esta vulnerabilidad, un atacante necesita:

Apuntar a una aplicación que use Next.js 15.x, 16.x, o 14.3.0-canary.77 y posteriores
Apuntar a una aplicación que use App Router
Poder enviar solicitudes HTTP al servidor objetivo

Impacto

La explotación exitosa puede llevar a:

Ejecución Remota de Código (RCE)
Control total del servidor
Exfiltración de datos
Interrupción del servicio

CVE-2025-66478-POC

Más Populares

CVE-2025-66478-POC

Más Populares

CVE-2025-66478 Prueba de Concepto

漏洞概述

技术细节

漏洞根源

影响范围

攻击向量

受影响的应用

Proof of Concept

免责声明

概念验证脚本

使用方法

基本用法

扫描模式

Docker 演示环境

前置要求

快速启动

方法 1: 使用启动脚本（推荐）

方法 2: 手动启动

访问应用

测试漏洞

环境信息

管理命令

安全注意事项

测试工具

使用方法

修复措施

立即修复

临时缓解措施

技术细节

漏洞原理

漏洞利用条件

漏洞影响

目标发现

FOFA 搜索语法

Hunter 搜索语法

常见易受攻击端点

参考资料

Resumen de la Vulnerabilidad

Detalles Técnicos

Causa Raíz

Alcance del Impacto

Vector de Ataque

Prueba de Concepto

Descargo de Responsabilidad

Script de Prueba de Concepto

Uso

Uso Básico

Modo Escaneo

Entorno de Demostración Docker

Requisitos Previos

Inicio Rápido

Método 1: Usando Script de Inicio (Recomendado)

Método 2: Inicio Manual

Acceder a la Aplicación

Probar la Vulnerabilidad

Información del Entorno

Comandos de Gestión

Notas de Seguridad

Herramienta de Prueba

Uso

Remedio

Corrección Inmediata

Mitigaciones Temporales

Detalles Técnicos

Mecanismo de la Vulnerabilidad

Condiciones de Explotación

Impacto

Referencias