Next.js CVE-2025-29927

Este repositorio contiene una prueba de concepto para la vulnerabilidad CVE-2025-29927 en Next.js, donde la cabecera interna x-middleware-subrequest puede ser explotada para eludir comprobaciones del middleware como la autenticación.

Versiones afectadas

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Instalación

🧪 Este proyecto fue probado con Next.js v13.4.19.

1. Clona el repositorio:

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. Instala las dependencias:

npm install

Ejecutando la Aplicación

1. Inicia el servidor de desarrollo:

npm run dev

2. Accede a la aplicación en tu navegador:

http://localhost:3000

Cómo funciona el sitio web

La aplicación demuestra un sistema de autenticación simple con una ruta protegida que puede ser eludida usando la vulnerabilidad CVE-2025-29927. Así es como funciona:

1. Página de inicio (/)

   • Muestra un mensaje de bienvenida y un botón de inicio de sesión
   • Al hacer clic, el botón de inicio de sesión establece una cookie de autenticación falsa (auth-token)
   • Después de "iniciar sesión", los usuarios son redirigidos a la página protegida

2. Página protegida (/protected)

   • Contiene información sensible que solo debería ser accesible para usuarios autenticados
   • Protegida por un middleware que verifica la presencia de la cookie auth-token
   • Normalmente, los usuarios no autenticados serían redirigidos a la página de inicio

3. Protección del middleware

   • El middleware verifica si el usuario tiene una cookie auth-token
   • Si no está autenticado e intenta acceder a rutas /protected/*, redirige a la página de inicio
   • Esta protección puede ser eludida usando la vulnerabilidad

4. Demostración de la vulnerabilidad

   • La aplicación muestra cómo se puede explotar la cabecera x-middleware-subrequest
   • Esto permite a los atacantes eludir la comprobación de autenticación del middleware
   • Incluso sin una cookie auth-token válida, los atacantes pueden acceder a rutas protegidas

Cómo explotarlo

Esta aplicación incluye una ruta protegida en /protected que normalmente requiere autenticación. Sin embargo, usando la cabecera x-middleware-subrequest: middleware en una petición como curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected, puedes eludir la comprobación de autenticación.

También puedes reproducir este comportamiento usando Burp Suite interceptando la petición y añadiendo manualmente la cabecera.

Para probarlo con Burp Suite, abre la pestaña Proxy y ve a la subpestaña Intercept. Asegúrate de que Intercept is On, luego haz clic en Open Browser y navega a la ruta protegida: http://localhost:3000/protected

Burp Suite capturará la petición a la ruta protegida. Desde allí, añade la siguiente cabecera: x-middleware-subrequest: middleware (resaltada en la captura de pantalla anterior). Finalmente, reenvía la petición y accede a la ruta protegida.

Solución

Actualiza a una de las siguientes versiones parcheadas:

• Next.js 15.2.3 o superior
• Next.js 14.2.25 o superior
• Next.js 13.5.9 o superior

Fuentes

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927