CVE-2026-75604

КритическийОпубликовано

Next.js: Неаутентифицированное удалённое выполнение кода на серверах под управлением Windows

Опубликовано: 1 сент. 2026 г.
Обновлено: 4 сент. 2026 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 1 сент. 2026 г.

Первичный CVSS

9,0/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Оценка вероятности EPSS

2,5 %

Низкий · следующие 30 дней

Процентиль: 83,6 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Next.js — это React-фреймворк для создания полнофункциональных веб-приложений. В версиях с 13.4.0 до 15.5.24 и 16.3.3 приложения Next.js, использующие Pages Router или App Router без Cache Components на серверах под управлением Windows, не всегда экранируют обратные слэши в сегментах маршрутов перед формированием путей инкрементального кэша. В файлах packages/next/src/shared/lib/router/utils/escape-path-delimiters.ts и packages/next/src/server/lib/incremental-cache/file-system-cache.ts удалённый запрос может передать закодированные разделители путей Windows, которые выходят за пределы предполагаемого корня кэша и раскрывают приватные данные сборки, включая ключ шифрования server-reference-manifest. Раскрытие этого ключа может позволить удалённое выполнение кода в затронутом приложении. Эта проблема устранена в версиях 15.5.24 и 16.3.3.

Источники

Project-CVE-2026-75604Эксплойт
Python-фреймворк для эксплуатации уязвимости CVE-2026-75604, позволяющий авторизованным пентестерам проверять уязвимости обхода кэша Next.js на Windows с развертыванием reverse shell и веб-шелла, верификацией целей и поддержкой прокси.
CVE-2026-75604PoC
Доказательство концепции эксплуатации для CVE-2026-75604 — неаутентифицированного удалённого выполнения кода (RCE) в Next.js, размещённом на Windows, через обход пути в кэше и поддельное Server Action, предназначенное для авторизованного тестирования безопасности.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.