Не каждая уязвимость требует сложной атаки - иногда достаточно правильно сформулированного запроса. Именно так работает CVE-2026-44578 в Next.js: атакующий отправлял специальный запрос на переход к WebSocket, и встроенный сервер Node.js начинал работать как прокси - перенаправлял обращения на произвольные адреса внутри инфраструктуры. Оценка CVSS 8.6 и высокий уровень опасности по классификации GitHub — не преувеличение.
Особую угрозу представляет доступ к конечным точкам облачных метаданных. В облачных средах именно там хранятся временные учётные данные IAM, токены доступа и секреты развёртывания. Получить их через такой запрос - значит получить реальный плацдарм для дальнейшего продвижения по инфраструктуре. Проблема касается версий с 13.4.13 по 15.5.16 и с 16.0.0 по 16.2.5, но только тех, кто размещает приложение самостоятельно на собственном сервере: Vercel и Netlify уязвимость не затрагивает.
Исправленные версии - 15.5.16 и 16.2.5 - уже доступны. Ирония в том, что сам сервер при этом не взломан, не скомпрометирован и работает штатно - он просто добросовестно выполняет то, о чём его попросили. Именно поэтому подделка серверного запроса так сложно поддаётся обнаружению: вредоносная активность выглядит как обычный рабочий трафик
Особую угрозу представляет доступ к конечным точкам облачных метаданных. В облачных средах именно там хранятся временные учётные данные IAM, токены доступа и секреты развёртывания. Получить их через такой запрос - значит получить реальный плацдарм для дальнейшего продвижения по инфраструктуре. Проблема касается версий с 13.4.13 по 15.5.16 и с 16.0.0 по 16.2.5, но только тех, кто размещает приложение самостоятельно на собственном сервере: Vercel и Netlify уязвимость не затрагивает.
Исправленные версии - 15.5.16 и 16.2.5 - уже доступны. Ирония в том, что сам сервер при этом не взломан, не скомпрометирован и работает штатно - он просто добросовестно выполняет то, о чём его попросили. Именно поэтому подделка серверного запроса так сложно поддаётся обнаружению: вредоносная активность выглядит как обычный рабочий трафик