ynsmroztas / nextssrf

CVE-2026-44578 — Next.js WebSocket 업그레이드 핸들러를 통한 서버 측 요청 위조(SSRF)

개요 · 설치 · 사용법 · 파이프라인 · Shodan · 인터랙티브 · 면책 조항

---

개요

2026년 5월 11일, Vercel은 모든 13.4.13 이상 자가 호스팅 배포에 영향을 미치는 Next.js의 WebSocket 업그레이드 핸들러에서 인증되지 않은 SSRF인 CVE-2026-44578(CVSS 8.6)를 패치했습니다.

메커니즘

//가 trigger에서 normalizeRepeatedSlashes 조기 종료를 발생시켜 statusCode: 308과 finished: true를 설정합니다. 취약한 업그레이드 핸들러는 두 플래그를 모두 무시하고 parsedUrl.protocol이 truthy인 경우 proxyRequest를 호출하여 요청을 공격자가 제어하는 호스트의 포트 80으로 프록시합니다.

영향을 받는 버전

제품	취약 버전	수정 버전
Next.js	13.4.13 – 15.5.15	15.5.16
Next.js	16.0.0 – 16.2.4	16.2.5
Vercel 호스팅	✅ 영향 없음	해당 없음

제한 사항

• GET만 가능 (POST/PUT 불가)
• 포트 80만 가능 (URL 정규화 시 명시적 포트 제거됨)
• AWS IMDSv2는 취약하지 않음 (PUT 토큰 필요)
• GCP 메타데이터는 400과 함께 Upgrade: websocket 거부
• 리버스 프록시(nginx/caddy/HAProxy)는 절대-형식 URI 차단

---

데모

CVE-2026-44578를 통한 AWS IMDSv1 자격 증명 유출 — 인터랙티브 익스플로잇 쉘

---

설치

의존성 없음 — Python 표준 라이브러리만 사용. Python 3.10 이상 필요.

---

사용법

단일 대상 스캔

클라우드별 대상

---

🌐 본 텍스트는 빠른 이해를 돕기 위한 요약 번역본입니다. 정확한 기술 정보 및 전체 코드는 GitHub 원문에서 확인하실 수 있습니다.