CVE-2025-66478-Exploit-Poc — Exploit proof-of-concept per Next.js CVE-2025-66478, che dimostra RCE tramite deserializzazione insicura e contaminazione del prototipo nelle Server Actions. Include un'app vulnerabile e uno script di exploit in Python per la ricerca sulla sicurezza. | Kitploit

sequenceDiagram
    participant Attacker
    participant Server as Next.js Server
    
    Attacker->>Server: POST / (JSON with "__proto__": {"then": ...})
    Note right of Server: JSON Parsing Pollutes Object.prototype
    
    Server->>Server: Application Logic encounters an Object
    
    rect rgb(200, 150, 150)
    Note right of Server: "Thenable" Check Gadget
    Server->>Server: Checks: typeof obj.then === 'function'?
    Server-->>Server: YES (due to pollution)
    end
    
    Server->>Server: Await/Execute malicious .then()
    Note right of Server: Malicious JS Code Runs (RCE)
    
    Server-->>Attacker: Response (Action Redirect / Error info)

Spostati nella directory next.js:
```
cd next.js
```

Installa le dipendenze:

npm install
# Puoi anche usare yarn o pnpm.

Avvia il server di sviluppo:
```
npm run dev
```
Verifica di poter accedere a http://localhost:3000 tramite il tuo browser.

Spostati nella directory exploit dalla radice del progetto:
```
cd exploit
```

(Opzionale) Si consiglia di utilizzare un ambiente virtuale:

python3 -m venv venv
source venv/bin/activate  # Per Windows: venv\Scripts\activate

Installa le librerie necessarie: Il modulo requests è richiesto.
```
pip install requests
```
Esegui lo script:
```
python main.py
```
Di default, punta all'indirizzo locale (http://localhost:3000). Per testare un indirizzo diverso, usa l'opzione --url:
```
python main.py --url http://target-ip:3000
```

CVE ID	CVE-2025-66478
Tipo	Esecuzione di Codice Remoto (RCE)
Causa principale	Deserializzazione non sicura nel protocollo RSC Flight
Gravità (CVSS)	10.0 (Critico)
Impatto	Esecuzione arbitraria di comandi di sistema sul server

CVE-2025-66478-Exploit-Poc

Più Popolari

Meccanismo dell'attacco (Dettaglio tecnico)

Versioni interessate

Riferimenti

Struttura dei file

Prerequisiti

1. Esecuzione dell'applicazione Next.js

2. Esecuzione dell'exploit Python

Dichiarazione di non responsabilità