---

📌 Visão Geral

CVE-2026-44578 é uma vulnerabilidade de alta gravidade do tipo Server-Side Request Forgery (SSRF) que afeta aplicações Next.js auto-hospedadas.

Atacantes podem explorar solicitações de upgrade WebSocket maliciosas para forçar o servidor a fazer requisições de saída para sistemas internos ou externos.

---

⚠️ Impacto

Essa vulnerabilidade pode permitir que atacantes acessem:

---

🧠 Fluxo do Ataque

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

---

📦 Versões Afetadas

---

🛡 Mitigação

✅ Ações Imediatas

• Atualizar o Next.js imediatamente
• Restringir tráfego de saída
• Bloquear endpoints de metadados (169.254.169.254)
• Filtrar cabeçalhos de upgrade maliciosos
• Evitar expor o next start bruto diretamente

---

🔥 Exemplo de Requisição Maliciosa

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

---

🧪 Ideias de Detecção

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

Monitore por:

• Requisições de saída inesperadas
• Segmentação de IP interno
• Upgrades WebSocket suspeitos
• Tentativas de acesso ao serviço de metadados

---

🔧 Proteção Recomendada com Proxy Reverso

Exemplo com NGINX

if ($http_upgrade = "websocket") {
    return 403;
}

---

📚 Referências

---