CVE-2025-66478 Next.js框架RCE漏洞

CVE-2025-66478(Next.js框架的高危远程代码执行（RCE）漏洞)

漏洞类型

反序列化

发现时间

2025-12-05

基础知识科普

Next.js框架介绍

Next.js是一个用于构建全栈Web应用程序的React框架。next.js作为一款轻量级的应用框架,主要用于构建静态网站和后端渲染网站。Next.js基于文件系统的路由器，构建在服务器组件之上，支持布局、嵌套路由、加载状态、错误处理等。

简单判别框架特征

文件路径包括：/_next/static/
响应头有：x-powered-by:Next.js

常见web服务器搭配有哪些

Apache、Nginx、……

空间测绘引擎的搜索语法

app="Next.js" && http.body="/_next/static/chunks/app/"

漏洞影响范围

Next.js 版本：≥14.3.0-canary.77、≥15 和 ≥16 的所有版本（如 15.1.0、16.0.6）

漏洞利用条件

条件：
必须同时使用React Server Components和App Router模式，Pages Router模式不受影响

其他师傅的相关文档，需要的自取：
https://dahezhiquan.blog.csdn.net/article/details/155564011#:~:text=https%3A//github.com/xkillbit/cve-2025-55182-scanner

其他师傅提供的扫描poc源码cve-2025-55182-scanner.py:
https://github.com/xkillbit/cve-2025-55182-scanner

python快速提取目标代码

由于cve-2025-55182-scanner.py的扫描结果result.json中，同时包含成功与失败的target，不方便对其进行二次验证。所以我通过python重新对数据进行了提取，主要作用是将目标列下的包含成功提示的target地址进行单独成列，批量读取扫描结果成功的那部分Url，方便进行漏洞的二次手动验证，节约时间，提升效率。
注：需要先下载对应python库：pip install pandas openpyxl
以及下载：pip install "xlrd<2.0"

# -*- coding: utf-8 -*-
import pandas as pd

# 1. >>>【！！！请修改这一行！！！】<<<
file_path = r"C:\Users\aaa\Desktop\2025-6478\targets.xlsx"   # 请修改为你的实际文件路径
sheet_name = "Sheet1"   # 工作表名，默认为Sheet1
search_text = "POTENTIALLY_VULNERABLE"   # 要查找的内容，例如三个a
source_column = "A"   # 源数据列（查找此列）
target_column = "B"   # 目标列（将结果复制到此列）

# 2. 读取文件
df = pd.read_excel(file_path, sheet_name=sheet_name)

# 3. 处理逻辑
for i in range(1, len(df)):
    current_val = str(df.loc[i, source_column]) if pd.notna(df.loc[i, source_column]) else ""
    if search_text in current_val:
        df.loc[i, target_column] = df.loc[i-1, source_column]

# 4. 保存新文件
output_path = file_path.replace(".xlsx", "_processed.xlsx").replace(".xls", "_processed.xls")
df.to_excel(output_path, index=False)

print("处理完成！新文件已保存至:", output_path)
print("共处理", len(df), "行数据。")

注：以上python代码由于不知名BUG，所以excle文档sheet1的A列第一行和B列第一行的值必须为A、B。经测试可以使用，Excel模板详情，请看下图展示。

A列	B列
A（A1的值）	B（B1的值）
"target": "https://1.1.1.1:80",
"status": "UNKNOWN"
…………

准备好后，执行命令python process_excel.py，即可得到result.json中成功的那部分target(B列新增内容，简单筛选即可得到结果）。
至于手动复测的Poc就略了，网上公开的很多。

以上内容参看文章如下：
https://dahezhiquan.blog.csdn.net/article/details/155564011#:~:text=https%3A//github.com/xkillbit/cve-2025-55182-scanner
https://mp.weixin.qq.com/s/NgUyv5SD6niBstJ1Lb04vA

---

做了才知不易，空想容易跑偏。