NextRce

NextRce - инструмент для эксплуатации уязвимости RSC в Next.js (CVE-2025-55182).

NextRce — это высокопроизводительный многопоточный инструмент безопасности, предназначенный для обнаружения и эксплуатации уязвимости CVE-2025-55182. Он нацелен на реализацию React Server Components (RSC) в архитектуре App Router Next.js. Манипулируя процессом сериализации в Server Actions, NextRce внедряет специально созданную полезную нагрузку для достижения удаленного выполнения кода (RCE) на уязвимых экземплярах. Он оснащен интеллектуальным механизмом обнаружения, который автоматически различает уязвимые архитектуры App Router и безопасные устаревшие Pages Router, обеспечивая эффективность при массовом сканировании.

📐Особенности:
📉Использует кодировку UTF-16LE для обхода обнаружения WAF, сохраняя при этом целостность полезной нагрузки на стороне сервера.
📉Практический анализ DOM (поиск window.__next_f) для идентификации уязвимых целей App Router по сравнению с устаревшими сайтами Pages Router.
📉Встроенный ThreadPoolExecutor позволяет сканировать тысячи доменов одновременно с минимальными затратами ресурсов.
📉Автоматически извлекает допустимые URL-адреса из смешанных форматов входных данных (например, коды состояния, заголовки или необработанные журналы).
🖱Выполняет команды и получает вывод непосредственно из дайджеста ответа сервера.

🔎Технический анализ:
Next.js App Router использует собственный формат сериализации для компонентов React Server Components (RSC). Уязвимость заключается в логике десериализации заголовков Next-Action. Когда специально созданный объект (загрязняющий proto) отправляется на конечную точку серверного действия (например, /adfa), внутренний парсер может быть принудительно принудительно настроен на выполнение произвольного кода Node.js через child_process.

⬇️Установка:

git clone https://github.com/ynsmroztas/NextRce.git

cd NextRce/

pip install requests

⛓️‍💥Использование:
▶️Режим обхода WAF (NextRCSWaff.py):

python3 NextRCSWaff.py -u [URL] -c "whoami" --bypass

▶️Сканирование одной цели:

python3 nextrce.py -u [URL] -c "cat /etc/passwd"

▶️Сканирование из файла:

python3 nextrce.py -l [TXT] -c "whoami" -t 100

#WAF #web #vuln #RCE

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

CISA предупреждает об активно эксплуатируемой уязвимости в расширении JCE для Joomla, позволяющей выполнять PHP-код.

06.16.26 Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло уязвимость критического уровня опасности, затрагивающую расширение Widget Factory Joomla Content Editor (JCE), в свой каталог известных эксплуатируемых уязвимостей (KEV), сославшись на свидетельства ее активной эксплуатации.

Данная уязвимость, зарегистрированная под идентификатором CVE-2026-48907, связана с некорректным контролем доступа, что может привести к выполнению произвольного кода.

В расширении Widget Factory Joomla Content Editor обнаружена уязвимость, связанная с ненадлежащим контролем доступа; она позволяет неавторизованным пользователям загружать и выполнять PHP-код путем создания новых профилей редактора

На данный момент нет информации о том, как именно эта уязвимость эксплуатируется в реальных условиях. Федеральным гражданским ведомствам исполнительной власти (FCEB) предписано установить исправление до 19 июня 2026 года.

#news #Joomla #PHP #CVE #vuln

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Злоумышленники изучают уязвимость Docker в Gitea спустя 13 дней после её обнаружения

Речь идёт об уязвимости CVE-2026-20896 (оценка CVSS: 9.8), которая возникает из-за того, что платформа DevOps доверяет заголовку "X-WEBAUTH-USER" от любого исходного IP-адреса, что фактически позволяет неаутентифицированному интернет-клиенту получить расширенный доступ.

В заявлении, отправленном The Hacker News по электронной почте, исследователь безопасности Али Мустафа, которому приписывают обнаружение и сообщение об уязвимости, сообщил, что образы Docker Gitea поставлялись с шаблоном "app.ini", в котором по умолчанию жёстко задано значение "REVERSE_PROXY_TRUSTED_PROXIES = *". Файл "app.ini" является основным конфигурационным файлом для управления параметрами сервера, подключениями к базам данных, поведением безопасности и настройками приложения.

При включенном обратном прокси-сервере этот подстановочный знак доверяет каждому IP-адресу источника, поэтому любой, кто может получить доступ к порту, может отправить заголовок X-WEBAUTH-USER и пройти аутентификацию как любой пользователь, без пароля и токена, — объяснил Мустафа. При включенной автоматической регистрации имя пользователя admin дает право доступа admin.

Стоит отметить, что документированное безопасное значение для внутренней переменной "REVERSE_PROXY_TRUSTED_PROXIES" - "127.0.0.0/8,::1/128", что означает, что в качестве доверенного прокси-сервера разрешен только localhost, то есть интерфейс обратной связи. Однако в официальном образе Docker это значение по умолчанию не используется, вместо него жестко задан символ "*". Другими словами, проверка в списке разрешенных серверов фактически отсутствует.

Уязвимость затрагивает версии образов Docker Gitea до 1.26.2 включительно. Она была устранена в версии 1.26.3, выпущенной в конце прошлого месяца, где был удален символ подстановки "*", а аутентификация через обратный прокси-сервер стала необязательной.

Источник: https://thehackernews.com/2026/07/threat-actors-probe-gitea-docker-flaw.html

#news #docker #vuln #gitea #proxy

🔗 Все наши каналы 🔁Все наши чаты 🪧Для связи с менеджером