ثغرة CVE-2025-29927 في Next.js

يحتوي هذا المستودع على إثبات مفهوم لثغرة CVE-2025-29927 في Next.js، حيث يمكن استغلال الرأس الداخلي x-middleware-subrequest لتجاوز فحوصات الوسيط (middleware) مثل المصادقة.

الإصدارات المتأثرة

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

التثبيت

🧪 تم اختبار هذا المشروع باستخدام Next.js v13.4.19.

1. استنساخ المستودع:

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. تثبيت التبعيات:

npm install

تشغيل التطبيق

1. تشغيل خادم التطوير:

npm run dev

2. الوصول إلى التطبيق في المتصفح:

http://localhost:3000

كيفية عمل الموقع

يُظهر التطبيق نظام مصادقة بسيط مع مسار محمي يمكن تجاوزه باستخدام ثغرة CVE-2025-29927. إليك كيفية عمله:

1. الصفحة الرئيسية (/)

   • تعرض رسالة ترحيب وزر تسجيل الدخول
   • عند النقر، يقوم زر تسجيل الدخول بتعيين ملف تعريف ارتباط مصادقة وهمي (auth-token)
   • بعد "تسجيل الدخول"، يتم إعادة توجيه المستخدمين إلى الصفحة المحمية

2. الصفحة المحمية (/protected)

   • تحتوي على معلومات حساسة يجب أن تكون متاحة فقط للمستخدمين المصادق عليهم
   • محمية بواسطة وسيط (middleware) يتحقق من وجود ملف تعريف الارتباط auth-token
   • عادةً، سيتم إعادة توجيه المستخدمين غير المصادق عليهم إلى الصفحة الرئيسية

3. حماية الوسيط (Middleware)

   • يتحقق الوسيط مما إذا كان المستخدم لديه ملف تعريف ارتباط auth-token
   • إذا لم يكن مصادقًا ويحاول الوصول إلى مسارات /protected/*، يعيد التوجيه إلى الصفحة الرئيسية
   • يمكن تجاوز هذه الحماية باستخدام الثغرة

4. عرض الثغرة

   • يوضح التطبيق كيف يمكن استغلال الرأس x-middleware-subrequest
   • يسمح هذا للمهاجمين بتجاوز فحص مصادقة الوسيط
   • حتى بدون وجود ملف تعريف ارتباط auth-token صالح، يمكن للمهاجمين الوصول إلى المسارات المحمية

كيفية الاستغلال

يتضمن هذا التطبيق مسارًا محميًا عند /protected يتطلب المصادقة عادةً. ولكن، باستخدام الرأس x-middleware-subrequest: middleware في طلب مثل curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected، يمكنك تجاوز فحص المصادقة.

يمكنك أيضًا إعادة إنتاج هذا السلوك باستخدام Burp Suite عن طريق اعتراض الطلب وإضافة الرأس يدويًا.

لتجربة ذلك مع Burp Suite، افتح علامة التبويب Proxy وانتقل إلى علامة التبويب الفرعية Intercept. تأكد من أن Intercept is On، ثم انقر على Open Browser وانتقل إلى المسار المحمي: http://localhost:3000/protected

سيلتقط Burp Suite الطلب إلى المسار المحمي. من هناك، أضف الرأس التالي: x-middleware-subrequest: middleware (مظلل في لقطة الشاشة أعلاه). أخيرًا، قم بإعادة توجيه الطلب والوصول إلى المسار المحمي.

الحل

قم بالتحديث إلى إحدى الإصدارات المصححة التالية:

• Next.js 15.2.3 أو أعلى
• Next.js 14.2.25 أو أعلى
• Next.js 13.5.9 أو أعلى

المصادر

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927