🚨 CVE-2026-44578 — Next.js SSRF भेद्यता

ChatGPT छवि 16 मई 2026, 03:30:11 अपराह्न

📌 अवलोकन

CVE-2026-44578 एक उच्च-गंभीरता सर्वर-साइड अनुरोध जालसाजी (SSRF) भेद्यता है जो स्व-होस्टेड Next.js अनुप्रयोगों को प्रभावित करती है।

हमलावर निर्मित WebSocket अपग्रेड अनुरोधों का शोषण करके सर्वर को आंतरिक या बाहरी सिस्टम पर आउटबाउंड अनुरोध करने के लिए मजबूर कर सकते हैं।

⚠️ प्रभाव

यह भेद्यता हमलावरों को निम्नलिखित तक पहुंच प्रदान कर सकती है:

लक्ष्य	जोखिम
🔐 आंतरिक APIs	अनधिकृत आंतरिक पहुंच
☁️ क्लाउड मेटाडेटा एंडपॉइंट	क्रेडेंशियल एक्सपोज़र
🖥 प्रशासनिक इंटरफ़ेस	विशेषाधिकार वृद्धि
🌐 नेटवर्क संसाधन	आंतरिक टोही

🧠 हमला प्रवाह

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 प्रभावित संस्करण

स्थिति	संस्करण
❌ असुरक्षित	13.4.13 → < 15.5.16
❌ असुरक्षित	16.x → < 16.2.5
✅ सुरक्षित	15.5.16+
✅ सुरक्षित	16.2.5+

🛡 शमन

✅ तत्काल कार्रवाई

Next.js को तुरंत अपग्रेड करें
आउटबाउंड ट्रैफ़िक प्रतिबंधित करें
मेटाडेटा एंडपॉइंट (169.254.169.254) को ब्लॉक करें
दुर्भावनापूर्ण अपग्रेड हेडर को फ़िल्टर करें
सीधे next start को उजागर करने से बचें

🔥 दुर्भावनापूर्ण अनुरोध का उदाहरण

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 पहचान के विचार

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

निगरानी रखें:

अप्रत्याशित आउटबाउंड अनुरोध
आंतरिक IP लक्ष्यीकरण
संदिग्ध WebSocket अपग्रेड
मेटाडेटा सेवा तक पहुंच प्रयास

🔧 अनुशंसित रिवर्स प्रॉक्सी सुरक्षा

NGINX उदाहरण

if ($http_upgrade = "websocket") {
    return 403;
}

📚 संदर्भ

संसाधन	लिंक
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-44578
GitHub सलाहकार	https://github.com/vercel/next.js/security/advisories
Next.js

CVE-2026-44578

सबसे लोकप्रिय