Исследование безопасности обхода кэша Next.js на Windows

Только оборонительные исследования безопасности и авторизованная проверка.

Этот репозиторий касается CVE-2026-75604 — критической уязвимости, которая может позволить неаутентифицированное удалённое выполнение кода на некоторых развёртываниях Next.js, размещённых на Windows.

Авторы

• Код: Xer0TLabs x Persephrak Decentralized Syndicate
• Цель исследования: Осведомлённость об уязвимостях, авторизованное тестирование безопасности и оборонительное устранение последствий

Атрибуция выше воспроизведена из исходного заголовка скрипта и не была независимо проверена.

Правовое и этическое использование

Этот проект должен использоваться только против:

• Систем, которые вы лично владеете
• Сред, специально созданных для локального тестирования безопасности
• Целей, на которые у вас есть предварительное, явное, письменное разрешение

Не используйте этот проект для доступа к сторонним веб-сайтам, серверам, облачным рабочим нагрузкам, клиентским системам или сетям без разрешения. Несанкционированный доступ, закрепление, развёртывание полезной нагрузки и выполнение команд могут нарушать законы о неправомерном использовании компьютеров и договорные обязательства.

Мейнтейнер и участники не несут ответственности за неправомерное использование.

Обзор уязвимости

CVE-2026-75604 затрагивает определённые приложения Next.js, размещённые на файловой системе Windows. При затронутых условиях недостаточная проверка путей в поведении, связанном с кэшированием, может позволить неаутентифицированное удалённое выполнение кода.

Согласно официальному релизу безопасности Next.js:

• Проблема затрагивает серверы Next.js, размещённые на Windows, использующие соответствующую конфигурацию Pages Router/App Router без Cache Components.
• Развёртывания на Linux и macOS не затронуты этой конкретной уязвимостью.
• Не существует известного обходного пути только с помощью конфигурации для затронутых развёртываний на Windows; требуется обновление.
• Исправленные релизы включают Next.js 15.5.24 и 16.3.3.

Безопасная оценка

Включённый режим --check-only следует рассматривать как проверку технологического отпечатка, а не как доказательство того, что хост уязвим.

Он может искать такие индикаторы, как:

• Заголовок ответа X-Powered-By, ссылающийся на Next.js
• Маркеры содержимого __next в возвращаемой странице
• Публично доступные статические ресурсы Next.js

Положительный результат только предполагает, что цель может использовать Next.js. Он не устанавливает:

• Установленную версию Next.js
• Работает ли сервер на Windows
• Включена ли затронутая конфигурация маршрутизатора/кэша
• Уязвим ли сервер
• Разрешение на проведение любого дальнейшего тестирования

Для производственных сред проверяйте подверженность через инвентаризацию активов, конфигурацию развёртывания, файлы package-lock, SBOM или одобренный процесс сканирования уязвимостей — а не путём попыток доставки полезной нагрузки.

Устранение последствий

1. Немедленно обновите Next.js

Для развёртываний Next.js 15.5:

npm install [email protected]

Для развёртываний Next.js 16.3:

npm install [email protected]

После обновления пересоберите и повторно разверните приложение, используя ваш обычный процесс CI/CD.

2. Подтвердите развёрнутую версию

Проверьте версию, отслеживаемую вашим манифестом зависимостей:

npm ls next

Также убедитесь, что развёрнутый артефакт/контейнер использует обновлённую зависимость, а не полагается только на локальную среду разработки.

3. Приоритизируйте развёртывания на Windows

Немедленно определите самостоятельно размещённые приложения Next.js, работающие на:

• Windows Server
• Виртуальных машинах Windows
• Контейнерах Windows
• Локальных средах хостинга IIS/Node.js, использующих файловые системы Windows

Относитесь к открытым, доступным через интернет системам как к наивысшему приоритету.

4. Примените временное снижение подверженности

До завершения исправления и повторного развёртывания:

• Ограничьте публичный доступ к затронутым сервисам, где это операционно возможно
• Разместите приложение за WAF или обратным прокси
• Ограничьте входящий доступ утверждёнными диапазонами IP или пользователями VPN
• Используйте сервисные учётные записи с минимальными привилегиями для процессов Node.js
• Убедитесь, что процесс приложения не может записывать в каталоги развёртывания или выполнять произвольные дочерние процессы
• Поддерживайте протестированные резервные копии и план реагирования на инциденты

Это временные меры снижения риска, а не замена обновлению.

Обнаружение и реагирование

Проведите расследование на предмет возможной эксплуатации, если затронутый сервис, размещённый на Windows, был доступен через интернет до исправления.

Проверьте:

• Журналы веб-сервера, обратного прокси, CDN и WAF на предмет аномальных закодированных шаблонов обхода
• Запросы, содержащие подозрительные последовательности обратной косой черты, точечных сегментов или двойного кодирования путей
• Неожиданные запросы к путям, связанным с кэшем или внутренним путям приложения
• Недавно созданные или изменённые файлы .js, .cmd, .bat, .ps1, .exe или .dll
• Неожиданные дочерние процессы, порождённые node.exe
• Исходящие сетевые подключения с хоста Next.js, особенно к незнакомым IP-адресам или портам с высокими номерами
• Новые запланированные задачи, службы, записи автозагрузки, локальные пользователи или изменённые файлы приложения

Если предполагается компрометация:

1. Изолируйте хост от сети.
2. Сохраните журналы и энергозависимые доказательства.
3. Ротируйте секреты, которые могли быть доступны приложению.
4. Пересоберите сервер из доверенного образа, а не полагайтесь на очистку на месте.
5. Исправьте Next.js перед возвратом сервиса в производство.
6. Проверьте журналы доступа сервера и приложения за окно инцидента.

Ссылки

• Релиз безопасности Next.js за август 2026
• CVE-2026-75604
• Программа вознаграждений за обнаружение ошибок Vercel Open Source

Отказ от ответственности

Этот репозиторий предоставлен для образовательных и оборонительных целей безопасности. Не используйте его для получения несанкционированного доступа, развёртывания вредоносного кода, установки оболочек, эксфильтрации данных или нарушения работы сервисов.