نظرة عامة

بعد قراءة الشرح الذي كتبه @zhero___ في مدونته الشخصية، قررت بناء هذا التحدي (CTF) لتعلم كيفية عمل الأمور، وبعد ذلك قررت مشاركته مع أي شخص يريد تعلم كيفية استغلال هذه الثغرة. لذا، تحية كبيرة إلى zhero و inzo_، ويمكنك العثور على مدونتهما هنا: "https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware"

الهدف

يجب عليك تجاوز البرمجية الوسيطة (middleware) والعثور على العلم (flag) في صفحة المسؤول. كما يمكنك قراءة البحث الرائع من AssetNote: "https://www.assetnote.io/resources/research/doing-the-due-diligence-analyzing-the-next-js-middleware-bypass-cve-2025-29927" الذي سيساعدك على تجاوزها بشكل أسرع.

البدء

1. استنساخ المستودع:

git clone https://github.com/pouriam23/Next.js-Middleware-Bypass-CVE-2025-29927-.git
cd Next.js-Middleware-Bypass-CVE-2025-29927-

2. تثبيت الاعتماديات:

npm install
# or
yarn install

3. إعداد متغيرات البيئة: أنشئ ملف .env في الدليل الجذر وأضف ما يلي:

DATABASE_URL="your-database-url"
JWT_SECRET="your-jwt-secret"

4. تهيئة قاعدة البيانات:

npx prisma generate
npx prisma db push

تشغيل CTF

وضع التطوير:

npm run dev
# or
yarn dev