Next.js CVE-2025-29927

Dieses Repository enthält einen Proof of Concept für die Schwachstelle CVE-2025-29927 in Next.js, bei der der interne Header x-middleware-subrequest ausgenutzt werden kann, um Middleware-Prüfungen wie die Authentifizierung zu umgehen.

Betroffene Versionen

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Installation

🧪 Dieses Projekt wurde mit Next.js v13.4.19 getestet.

1. Klone das Repository:

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. Installiere Abhängigkeiten:

npm install

Ausführen der Anwendung

1. Starte den Entwicklungsserver:

npm run dev

2. Rufe die Anwendung in deinem Browser auf:

http://localhost:3000

Wie die Website funktioniert

Die Anwendung demonstriert ein einfaches Authentifizierungssystem mit einer geschützten Route, die mithilfe der Schwachstelle CVE-2025-29927 umgangen werden kann. So funktioniert es:

1. Startseite (/)

   • Zeigt eine Begrüßungsnachricht und einen Anmeldebutton an
   • Beim Klicken setzt der Anmeldebutton ein gefälschtes Authentifizierungs-Cookie (auth-token)
   • Nach dem "Anmelden" werden Benutzer zur geschützten Seite weitergeleitet

2. Geschützte Seite (/protected)

   • Enthält sensible Informationen, die nur für authentifizierte Benutzer zugänglich sein sollten
   • Geschützt durch Middleware, die das Vorhandensein des auth-token-Cookies überprüft
   • Normalerweise würden nicht authentifizierte Benutzer zur Startseite weitergeleitet

3. Middleware-Schutz

   • Die Middleware überprüft, ob der Benutzer ein auth-token-Cookie hat
   • Wenn nicht authentifiziert und versucht wird, auf /protected/*-Routen zuzugreifen, wird zur Startseite weitergeleitet
   • Dieser Schutz kann mithilfe der Schwachstelle umgangen werden

4. Demonstration der Schwachstelle

   • Die Anwendung zeigt, wie der x-middleware-subrequest-Header ausgenutzt werden kann
   • Dadurch können Angreifer die Middleware-Authentifizierungsprüfung umgehen
   • Auch ohne ein gültiges auth-token-Cookie können Angreifer auf geschützte Routen zugreifen

Wie man die Schwachstelle ausnutzt

Diese Anwendung enthält eine geschützte Route unter /protected, die normalerweise eine Authentifizierung erfordert. Durch die Verwendung des Headers x-middleware-subrequest: middleware in einer Anfrage wie curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected kann die Authentifizierungsprüfung jedoch umgangen werden.

Du kannst dieses Verhalten auch mit Burp Suite reproduzieren, indem du die Anfrage abfängst und den Header manuell hinzufügst.

Um dies mit Burp Suite zu versuchen, öffne den Proxy-Tab und gehe zum Intercept-Untertab. Stelle sicher, dass Intercept is On ist, klicke dann auf Open Browser und navigiere zur geschützten Route: http://localhost:3000/protected

Burp Suite wird die Anfrage zur geschützten Route erfassen. Füge dort den folgenden Header hinzu: x-middleware-subrequest: middleware (im obigen Screenshot hervorgehoben). Leite die Anfrage schließlich weiter und greife auf die geschützte Route zu.

Lösung

Aktualisiere auf eine der folgenden gepatchten Versionen:

• Next.js 15.2.3 oder höher
• Next.js 14.2.25 oder höher
• Next.js 13.5.9 oder höher

Quellen

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927