CVE-2026-75604

Résumé

Next.js est un framework React permettant de créer des applications web full-stack. De la version 13.4.0 jusqu'aux versions 15.5.24 et 16.3.3, les applications Next.js utilisant Pages Router ou App Router sans Cache Components sur des serveurs hébergés sous Windows n'échappent pas systématiquement les barres obliques inverses dans les segments de route avant de construire les chemins de cache incrémental. Dans packages/next/src/shared/lib/router/utils/escape-path-delimiters.ts et packages/next/src/server/lib/incremental-cache/file-system-cache.ts, une requête distante peut fournir des séparateurs de chemin Windows encodés qui traversent la racine du cache prévue et exposent des données de build privées, y compris la clé de chiffrement du server-reference-manifest. La divulgation de cette clé peut permettre l'exécution de code à distance dans l'application concernée. Ce problème est corrigé dans les versions 15.5.24 et 16.3.3.

• Project-CVE-2026-75604Exploit

  Framework d'exploitation basé sur Python pour CVE-2026-75604, permettant aux pentesteurs autorisés de valider les vulnérabilités de traversée de cache Windows de Next.js avec déploiement de reverse shell et de webshell, vérification des cibles et prise en charge des proxys.

• CVE-2026-75604PoC

  Preuve de concept d'exploitation pour CVE-2026-75604, une RCE non authentifiée dans Next.js hébergé sur Windows via un traversement de chemin de cache et une Server Action falsifiée, destinée aux tests de sécurité autorisés.