CVE-2025-29927-Testing

Beispielausgabe

Wie funktioniert es?

Das Skript prüft, ob Next.js über den x-powered-by-Header verwendet wird. Wenn Next.js erkannt wird, versucht es, die Version aus gängigen statischen Assets wie framework.js und main.js zu extrahieren, und sucht nach anfälligen Versionsinformationen im Zusammenhang mit CVE-2025-29927.

Das Skript sendet dann eine Anfrage mit dem x-middleware-subrequest-Header und prüft, ob die Antwort HTTP 200 ist, was darauf hindeuten würde, dass die Sicherheitslücke vorhanden ist.

Abhilfemaßnahmen

• Aktualisieren Sie auf eine gepatchte Version von Next.js (13.5.9 oder höher).
• Validieren oder entfernen Sie den x-middleware-subrequest-Header, um Middleware-Bypass zu verhindern.
• Verbessern Sie die Authentifizierungsmechanismen und verlassen Sie sich nicht ausschließlich auf Middleware für kritische Sicherheitsaspekte.
• Beschränken Sie den Umfang der Middleware auf nur wesentliche Pfade.
• Überwachen und protokollieren Sie verdächtige Aktivitäten im Zusammenhang mit Middleware-Bypass-Versuchen.
• Konfigurieren Sie Sicherheitsheader wie HSTS und CSP, um Ihre Anwendung zu schützen.
• Überprüfen Sie regelmäßig Ihre Codebasis und Abhängigkeiten auf Sicherheitsprobleme. Aktualisieren Sie auf die neueste Version.

Weiterführende Informationen

• Der Original-Blogbeitrag von Rachid Allam, der diese Sicherheitslücke entdeckt hat, ist hier zu finden.

Haftungsausschluss

Dieses Skript ist nur für Tests an Assets vorgesehen, für die Sie die Berechtigung und Autorisierung haben, speziell für CVE-2025-29927.

Die Verwendung dieses Skripts gibt keine Garantie dafür, dass eine Anwendung anfällig oder nicht anfällig ist, sondern nur, dass die vom Skript gesuchten Elemente vorhanden oder nicht vorhanden sind. Der Autor dieses Skripts übernimmt keine Verantwortung für Folgen, die sich aus seiner Verwendung ergeben.

Durch die Verwendung dieses Skripts stimmen Sie zu, die volle Verantwortung für Ihre Handlungen zu übernehmen. Stellen Sie sicher, dass Sie die ausdrückliche Erlaubnis haben, bevor Sie ein System testen, das Ihnen nicht gehört.