研究者展示如何伪造 Next.js 认证 cookie 维持持久访问

研究者展示了攻击者如何利用 Next.js（next-auth/Auth.js）应用的 NEXTAUTH_SECRET 伪造认证 cookie，从而冒充任意用户并维持持久访问。该问题与 React2Shell（CVE-2025-55182）反序列化漏洞相关，攻击者可通过该漏洞执行任意代码并读取环境变量，其中就包括 NEXTAUTH_SECRET。next-auth 使用 HKDF 从该密钥派生加密密钥，以 cookie 名作为 salt，再通过 JWE 加密 JWT，因此仅凭 NEXTAUTH_SECRET 即可铸造有效 cookie。作者用 AI 辅助编写了 cookie 编码/解码工具并公开源码，演示了加密与解密流程。