CVE-2025-66478 エクスプロイト PoC

このリポジトリには、Next.js CVE-2025-66478 の脆弱性を再現・調査するための概念実証（PoC）コードが含まれています。脆弱性のある Next.js アプリケーションと、脆弱性をテストするための Node.js エクスプロイトスクリプトが含まれています。

英語 · 中文

CVE-2025-66478 とは？

これは、Next.js の Server Actions 処理中に発生する**リモートコード実行（RCE）**脆弱性です。

重要なポイント：

根本原因：RSC（React Server Components）Flight プロトコルにおける安全でない逆シリアル化。
攻撃ベクトル：__proto__ プロパティを介したプロトタイプ汚染。

脆弱性の概要

項目	説明
CVE ID	CVE-2025-66478
タイプ	リモートコード実行（RCE）
根本原因	RSC Flight プロトコルにおける安全でない逆シリアル化
深刻度（CVSS）	10.0（Critical）
影響	サーバー上での任意のシステムコマンド実行

攻撃メカニズム（技術的詳細）

ペイロード配信：攻撃者は React Flight シリアル化形式を使用してペイロードを作成し、__proto__ などのプロパティを注入します。
安全でない逆シリアル化と汚染：サーバーはペイロードを適切な検証なしに逆シリアル化し、その結果 Object.prototype が汚染されます。
Thenable 悪用チェーン：汚染により、すべてのオブジェクトに then プロパティが注入されます。Next.js のロジックは、これらのオブジェクトを**Promise（Thenable）**として誤って識別します。
RCE の実行：サーバーがこの「偽の Promise」を await しようとすると、then メソッドに注入された悪意のある JavaScript コードが実行されます（例：child_process.execSync）。

sequenceDiagram
    participant Attacker as Attacker
    participant Server as Next.js Server

    Attacker->>Server: POST / (JSON with "__proto__": {"then": ...})
    Note right of Server: JSON parsing pollutes Object.prototype

    Server->>Server: Application logic encounters an object

    rect rgb(200, 150, 150)
    Note right of Server: "Thenable" check exploitation chain
    Server->>Server: Check: typeof obj.then === 'function'?
    Server-->>Server: Yes (due to pollution)
    end

    Server->>Server: Await/execute malicious .then()
    Note right of Server: Malicious JS code runs (RCE)

    Server-->>Attacker: Response (Action redirect / Error message)

したがって、サーバーがこの改ざんされた Promise を処理すると、攻撃者が注入した JavaScript コードが実行され、システムコマンド実行につながる可能性があります。同梱の main.mjs は、この攻撃シナリオを再現するためのサンプルコードです。

影響を受けるバージョン

この脆弱性は、App Router を使用する Next.js アプリケーションに影響を与えます。

影響を受けるバージョン：
- Next.js 15.x
- Next.js 16.x
- Next.js 14.3.0-canary.77 以降（Canary リリース）
影響を受けないバージョン：
- Next.js 13.x
- Next.js 14.x の安定版
- Pages Router のみを使用するアプリケーション
- Edge Runtime

パッチ適用済みバージョン：

15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7
16.0.7
15.6.0-canary.58（PPR ユーザー向け）

参照

ファイル構成

app/page.tsx：脆弱なアプリケーションのサンプルコード。
exploit.mjs：Node.js で記述されたエクスプロイト実行スクリプト。

前提条件

Node.js：v24 以降を推奨。

1. Next.js アプリケーションの実行

# You can also use yarn or npm.
pnpm install
pnpm dev

ブラウザで http://localhost:3000 にアクセスできることを確認してください。

2. エクスプロイトスクリプトの実行

pnpm exploit

デフォルトでは、ローカルアドレス（http://localhost:3000）を対象にします。別のアドレスをテストするには、--url オプションを使用します：

pnpm exploit --url http://target-ip:3000

免責事項

このコードは、セキュリティ研究および教育目的のみを意図しています。事前の許可なくシステムやネットワークに対してこのツールを使用することは違法であり、そのような使用によって生じるいかなる問題についても、ユーザーが全責任を負います。

人気

CVE-2025-66478-Exploit-PoC