CVE-2025-66478 Exploit PoC

Questo repository contiene il codice proof of concept (PoC) per la riproduzione e la ricerca della vulnerabilità Next.js CVE-2025-66478. Include un'applicazione Next.js vulnerabile e uno script di exploit in Node.js per testare la vulnerabilità.

English · 中文

Cos'è CVE-2025-66478?

Si tratta di una vulnerabilità di Remote Code Execution (RCE) che si verifica durante l'elaborazione delle Server Actions di Next.js.

Punti chiave:

• Causa principale: deserializzazione non sicura nel protocollo RSC (React Server Components) Flight.
• Vettore di attacco: prototype pollution tramite la proprietà __proto__.

Riepilogo della vulnerabilità

Meccanismo di attacco (Dettagli tecnici)

1. Consegna del payload: L'attaccante crea un payload utilizzando il formato di serializzazione React Flight, iniettando proprietà come __proto__.
2. Deserializzazione non sicura e pollution: Il server deserializza il payload senza una corretta validazione, causando l'inquinamento di Object.prototype.
3. Catena di sfruttamento Thenable: L'inquinamento inietta una proprietà then in tutti gli oggetti. La logica di Next.js identifica erroneamente questi oggetti come Promise (Thenable).
4. Esecuzione RCE: Quando il server tenta di fare await di questa "falsa Promise", il codice JavaScript malevolo iniettato nel metodo then viene eseguito (ad esempio, child_process.execSync).

sequenceDiagram
    participant Attacker as Attacker
    participant Server as Next.js Server

    Attacker->>Server: POST / (JSON with "__proto__": {"then": ...})
    Note right of Server: JSON parsing pollutes Object.prototype

    Server->>Server: Application logic encounters an object

    rect rgb(200, 150, 150)
    Note right of Server: "Thenable" check exploitation chain
    Server->>Server: Check: typeof obj.then === 'function'?
    Server-->>Server: Yes (due to pollution)
    end

    Server->>Server: Await/execute malicious .then()
    Note right of Server: Malicious JS code runs (RCE)

    Server-->>Attacker: Response (Action redirect / Error message)

Pertanto, quando il server elabora questa Promise manipolata, esegue il codice JavaScript iniettato dall'attaccante, che può portare all'esecuzione di comandi di sistema. Il file main.mjs incluso è un codice di esempio per riprodurre questo scenario di attacco.

Versioni affette

Questa vulnerabilità riguarda le applicazioni Next.js che utilizzano l'App Router.

• Versioni affette:
  • Next.js 15.x
  • Next.js 16.x
  • Next.js 14.3.0-canary.77 e successive (rilasci Canary)
• Versioni non affette:
  • Next.js 13.x
  • Versioni stabili di Next.js 14.x
  • Applicazioni che utilizzano solo Pages Router
  • Edge Runtime

Versioni con patch:

• 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7
• 16.0.7
• 15.6.0-canary.58 (per utenti PPR)

Riferimenti

• Next.js Security Advisories
• NVD - CVE-2025-66478
• Python - CVE-2025-66478
• CVE-2025-55182

Struttura dei file

• app/page.tsx: Codice di esempio per l'applicazione vulnerabile.
• exploit.mjs: Script di esecuzione dell'exploit scritto in Node.js.

Prerequisiti

• Node.js: v24 o successiva consigliata.

1. Esecuzione dell'applicazione Next.js

# Puoi anche usare yarn o npm.
pnpm install
pnpm dev

Verifica di poter accedere a http://localhost:3000 tramite il browser.

2. Esecuzione dello script di exploit

pnpm exploit

Per impostazione predefinita, punta all'indirizzo locale (http://localhost:3000). Per testare un indirizzo diverso, usa l'opzione --url:

pnpm exploit --url http://target-ip:3000

Dichiarazione di non responsabilità

Questo codice è destinato esclusivamente a scopi di ricerca sulla sicurezza e didattici. L'utilizzo di questo strumento contro sistemi o reti senza previa autorizzazione è illegale e gli utenti si assumono la piena responsabilità per qualsiasi problema derivante da tale utilizzo.