CVE-2025-66478-Exploit-Poc — Exploit de preuve de concept pour Next.js CVE-2025-66478, démontrant une exécution de code à distance (RCE) via une désérialisation non sécurisée et une pollution de prototype dans les Server Actions. Inclut une application vulnérable et un script d'exploit Python pour la recherche en sécurité. | Kitploit

sequenceDiagram
    participant Attacker
    participant Server as Next.js Server
    
    Attacker->>Server: POST / (JSON with "__proto__": {"then": ...})
    Note right of Server: JSON Parsing Pollutes Object.prototype
    
    Server->>Server: Application Logic encounters an Object
    
    rect rgb(200, 150, 150)
    Note right of Server: "Thenable" Check Gadget
    Server->>Server: Checks: typeof obj.then === 'function'?
    Server-->>Server: YES (due to pollution)
    end
    
    Server->>Server: Await/Execute malicious .then()
    Note right of Server: Malicious JS Code Runs (RCE)
    
    Server-->>Attacker: Response (Action Redirect / Error info)

Accédez au répertoire next.js :
```
cd next.js
```

Installez les dépendances :

npm install
# You can also use yarn or pnpm.

Démarrez le serveur de développement :
```
npm run dev
```
Vérifiez que vous pouvez accéder à http://localhost:3000 via votre navigateur.

Accédez au répertoire exploit depuis la racine du projet :
```
cd exploit
```
(Facultatif) L'utilisation d'un environnement virtuel est recommandée :
```
python3 -m venv venv
source venv/bin/activate  # For Windows: venv\Scripts\activate
```
Installez les bibliothèques nécessaires : Le module requests est requis.
```
pip install requests
```
Exécutez le script :
```
python main.py
```
Par défaut, il cible l'adresse locale (http://localhost:3000). Pour tester une autre adresse, utilisez l'option --url :
```
python main.py --url http://target-ip:3000
```

Identifiant CVE	CVE-2025-66478
Type	Exécution de code à distance (RCE)
Cause racine	Désérialisation non sécurisée dans le protocole Flight du RSC
Sévérité (CVSS)	10.0 (Critique)
Impact	Exécution de commandes système arbitraires sur le serveur

CVE-2025-66478-Exploit-Poc

Populaires

À propos

Mécanisme d'attaque (détail technique)

Versions concernées

Références

Structure des fichiers

Prérequis

1. Exécution de l'application Next.js

2. Exécution de l'exploit Python

Avertissement