Next.js高危漏洞PoC利用脚本公开

GitHub 用户 wangxso 公开了针对 Next.js 漏洞 CVE-2025-66478 的概念验证脚本 exploit.js 及 Docker 演示环境。该漏洞源于 React Server Components Flight 协议的不安全反序列化，CVSS 评分 10.0；按 PoC 项目说明，未经身份验证的攻击者可通过特制 HTTP 请求执行任意 JavaScript 代码，但这一效果尚未见独立验证。 PoC 列出的适用条件为：目标使用 Next.js 15.x、16.x 或 14.3.0-canary.77 及更高版本，启用 App Router，且攻击者能向目标服务器发送 HTTP 请求。修复方式是升级到已修复该漏洞的最新 Next.js 版本。 此后又出现一份用 Go 语言编写的相关 PoC 利用代码，作者称灵感来自 github.com/namest504/CVE-2025-66478 仓库，并声明仅用于安全研究与学习，未经授权使用属违法行为。

AI 根据报道生成 · 19 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。