【已支持检测】Next.js 爆出高危 SSRF：单请求可打向云元数据与内部接口（CVE-2026-44578）
匿名者 4天前
▌漏洞描述
Next.js 是常见的 React 全栈 Web 框架，广泛用于官网、业务前台、管理后台、API 聚合层和内部平台。这次漏洞影响的不是 Vercel 托管环境，而是使用 Next.js 内置 Node.js 服务器 的自托管部署。
近日，Vercel 发布安全公告，修复了一个漏洞： CVE-2026-44578（高危，cvss 8.6），问题位于 WebSocket upgrade 请求处理逻辑：服务端在处理构造后的 upgrade 请求时，错误地把本不应代理的目标当成可安全转发的外部请求，导致攻击者可借此让 Next.js 进程向任意可达目标发起请求，从而形成 SSRF。
官方受影响与修复范围如下：
补充说明：
仅影响自托管、且使用内置 Node.js server 的 Next.js 部署。
Vercel-hosted 部署不受影响。
▌利用条件
满足以下条件时需要重点关注：
目标为自托管 Next.js 应用；
使用内置 Node.js server 对外提供服务；
攻击者可从外部网络访问该 Next.js 源站；
服务端可访问内网地址、管理接口或云元数据地址；
WebSocket upgrade 路径可达，且未被前置代理拦截。
公开技术分析给出的利用链概括如下：
攻击者向 Next.js 发送一条带有 WebSocket upgrade 头部的 HTTP 请求，请求行使用绝对形式 URI，把目标指向服务端可访问的内部地址，Next.js 在 upgrade 路径中错误放行代理逻辑，服务端据此向指定内部目标发起 HTTP GET 请求，并把响应回传给攻击者，若目标是云元数据地址、内部管理接口或未认证内部 API，可能进一步泄露敏感信息。
公开分析还指出，这条路径当前主要体现为未认证、GET-only、且对内发起请求室目标端口会回落到 80 的 SSRF。
▌威胁状态分析
公开技术分析已给出漏洞成因、触发条件和利用链；
公网已广泛公开 PoC ；
漏洞不需要认证，且触发条件较低；
受影响组件使用面广，自托管 Next.js 在真实环境中并不少见。
结合FOFA检索公网暴露实例：全球约有 700W+ 公网可达的 Next.js 实例，表明该漏洞影响的版本在真实场景有较大的攻击面。
较高风险场景包括：
Next.js 源站直接暴露在互联网，未由 Nginx、Caddy、HAProxy 等前置代理过滤请求行；
使用 next start 直接对外提供服务；
Kubernetes、容器或云主机中，Next.js 服务可直接访问元数据地址、内网管理接口或内部 API；
开发、测试、预发环境长期对公网开放；
应用部署在云环境中，且实例角色、托管身份、配置接口等高价值目标可通过 80 端口访问。
▌排查和修复建议
先盘点是否存在自托管 Next.js 应用，并区分是否使用内置 Node.js server 对外提供服务。
核对 Next.js 版本，升级到 15.5.16、16.2.5 或更高后续修复版本。
确认应用是否被前置代理保护，还是源站可被外部直接访问。
检查访问日志和反向代理日志中是否存在绝对形式 URI（如请求行以 http:// 或 https:// 开头）并伴随 Upgrade: websocket 的请求。
检查 Next.js 进程日志中是否出现 Failed to proxy http:/ 这类特征信息。Hadrian 认为这是较强的利用痕迹。
检查应用主机是否存在异常访问 169.254.169.254、me tadata.google.internal、RFC1918 内网地址或 link-local 地址的出站连接。
若暂时无法升级，不要让 Next.js 源站直接暴露到不可信网络；如业务不依赖 WebSocket upgrade，可在反向代理或负载均衡层直接拦截。
在前置代理或 WAF 层显式拦截以 http://、https:// 开头的绝对形式请求行。
同时收紧源站到元数据服务和内网敏感网段的出站访问，避免 SSRF 直接命中高价值目标。
▌产品支持情况
FORadar 互联网资产攻击面管理平台及华顺信安全产线产品已支持 Next.js 相关产品组件暴露面风险资产规则识别及CVE-2026-44578相关漏洞检测（EXP），缩短从“知道有漏洞”到“找到资产并完成处置”的时间差。
▌参考
最新评论