🚨 CVE-2026-44578 — Vulnerabilità SSRF di Next.js

Immagine ChatGPT del 16 maggio 2026, 03_30_11 PM

📌 Panoramica

CVE-2026-44578 è una vulnerabilità Server-Side Request Forgery (SSRF) di alta gravità che colpisce le applicazioni Next.js self-hosted.

Gli attaccanti possono sfruttare richieste di upgrade WebSocket appositamente create per forzare il server a effettuare richieste verso sistemi interni o esterni.

⚠️ Impatto

Questa vulnerabilità può consentire agli attaccanti di accedere a:

Bersaglio	Rischio
🔐 API interne	Accesso interno non autorizzato
☁️ Endpoint Metadata Cloud	Esposizione di credenziali
🖥 Interfacce Amministrative	Escalation dei privilegi
🌐 Risorse di Rete	Ricognizione interna

🧠 Flusso dell'attacco

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 Versioni affette

Stato	Versioni
❌ Vulnerabile	13.4.13 → < 15.5.16
❌ Vulnerabile	16.x → < 16.2.5
✅ Risolta	15.5.16+
✅ Risolta	16.2.5+

🛡 Mitigazione

✅ Azioni immediate

Aggiornare immediatamente Next.js
Limitare il traffico in uscita
Bloccare gli endpoint dei metadati (169.254.169.254)
Filtrare le intestazioni di upgrade dannose
Evitare di esporre direttamente next start

🔥 Esempio di richiesta dannosa

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 Idee per il rilevamento

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

Monitorare per:

Richieste in uscita inaspettate
Targeting di IP interni
Upgrade WebSocket sospetti
Tentativi di accesso al servizio di metadati

🔧 Protezione proxy inverso consigliata

Esempio NGINX

if ($http_upgrade = "websocket") {
    return 403;
}

📚 Riferimenti

Risorsa	Link
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-44578
Avvisi GitHub	https://github.com/vercel/next.js/security/advisories
Next.js

CVE-2026-44578

Più Popolari