PoC-CVE-2025-29927

¿qué es la vulnerabilidad?

• este cve reporta una falla en la cabecera x-middleware-subrequest, responsable de gestionar las peticiones internas en next.js, que permite a un atacante evadir los middlewares de autorización en next.js 15.0.0 y acceder a rutas protegidas, por ejemplo

ejemplo real

• en una aplicación web, existe la ruta /dashboard, a la que solo los usuarios registrados pueden acceder, pero, si hacemos la petición con la cabecera x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware, podemos acceder a esta ruta sin autenticación