---

📌 Обзор

CVE-2026-44578 — это уязвимость подделки серверных запросов (SSRF) высокой степени серьезности, затрагивающая Next.js приложения, размещенные самостоятельно.

Злоумышленники могут использовать специально созданные запросы на обновление WebSocket, чтобы заставить сервер выполнять исходящие запросы к внутренним или внешним системам.

---

⚠️ Воздействие

Эта уязвимость может позволить злоумышленникам получить доступ к:

---

🧠 Схема атаки

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

---

📦 Затронутые версии

---

🛡 Смягчение

✅ Немедленные действия

• Немедленно обновите Next.js
• Ограничьте исходящий трафик
• Заблокируйте эндпоинты метаданных (169.254.169.254)
• Фильтруйте вредоносные заголовки обновления
• Избегайте прямого использования next start в сыром виде

---

🔥 Пример вредоносного запроса

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

---

🧪 Идеи для обнаружения

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

Отслеживайте:

• Неожиданные исходящие запросы
• Нацеливание на внутренние IP
• Подозрительные обновления WebSocket
• Попытки доступа к службе метаданных

---

🔧 Рекомендуемая защита обратного прокси

Пример для NGINX

if ($http_upgrade = "websocket") {
    return 403;
}

---

📚 Ссылки

---