CVE-2026-75604

Resumo

# Next.js O Next.js é um framework React para a criação de aplicações web full-stack. Das versões 13.4.0 até 15.5.24 e 16.3.3, as aplicações Next.js que utilizam Pages Router ou App Router sem Cache Components em servidores hospedados no Windows não escapam consistentemente as barras invertidas nos segmentos de rota antes de construir os caminhos do cache incremental. Em `packages/next/src/shared/lib/router/utils/escape-path-delimiters.ts` e `packages/next/src/server/lib/incremental-cache/file-system-cache.ts`, uma solicitação remota pode fornecer separadores de caminho do Windows codificados que atravessam a raiz do cache pretendida e expõem dados privados de build, incluindo a chave de criptografia do `server-reference-manifest`. A divulgação dessa chave pode permitir a execução remota de código na aplicação afetada. Este problema foi corrigido nas versões 15.5.24 e 16.3.3.

• Project-CVE-2026-75604Exploit

  Python-based exploitation framework para CVE-2026-75604, que permite a pentesters autorizados validar vulnerabilidades de travessia de cache do Next.js no Windows, com implantação de reverse shell e webshell, verificação de alvos e suporte a proxy.

• CVE-2026-75604PoC

  Prova de conceito de exploit para CVE-2026-75604, uma RCE não autenticada em Next.js hospedado no Windows via path traversal no cache e Server Action forjada, para testes de segurança autorizados.