対象範囲

このリポジトリは、v16.2.4..v16.2.5 リリース期間で修正された12件のアドバイザリをカバーしています:

詳細な深刻度、CVSS、CWE マッピング、およびホスティング適用性は poc/README.md に記載されています。

はじめに

1. SUMMARY.md を読んでリリース期間の分析を確認します。
2. poc/README.md を読んで完全なアドバイザリテーブルと攻撃対象領域の概要を確認します。
3. PoC ディレクトリを選択し、そのローカルの README.md から始めます。
4. 脆弱なターゲットに対して対応するエクスプロイトを実行します。

単一の PoC を実行する場合:

コレクション全体を実行する場合:

ほとんどのエクスプロイトは、脆弱な Next.js v16.2.4 ターゲットを前提としています。一部のディレクトリでは、完全な Next.js インストールに対してバグを再現するとセットアップのオーバーヘッドが大きくなりすぎる場合に、代わりに vulnerable-app/ に小さなスタブサービスを同梱しています。

安全性

• 所有しているシステム、または明示的に評価を許可されたシステムに対してのみテストしてください。
• ターゲットを next@>=16.2.5 にアップグレードして、アップストリームの修正を適用してください。
• 調査中に新しい亜種が見つかった場合は、公開で開示するのではなく、Next.js のセキュリティプロセスを通じて非公開で報告してください。