Bypass de autorización del middleware de Next.js (CVE-2025-29927)

¿Qué es la vulnerabilidad?

En las aplicaciones Next.js, el middleware se ejecuta antes de que las solicitudes lleguen a la aplicación y realiza controles como la autenticación y la autorización.

En la vulnerabilidad CVE-2025-29927, debido a la cabecera HTTP x-middleware-subrequest añadida de forma especial, el middleware puede, en algunos casos, considerar la solicitud como verificada. Esta situación puede provocar que usuarios no autorizados accedan a páginas protegidas.

Sobre el proyecto

En este proyecto mostré la vulnerabilidad CVE-2025-29927, que afecta a las aplicaciones Next.js, en un entorno de laboratorio que creé con Docker.

Creé el entorno de laboratorio desde cero. Preparé las páginas login, index y admin con Next.js. Después, añadí el control de autorización a la página admin utilizando middleware.

Al capturar las solicitudes HTTP con Burp Suite, añadí la cabecera x-middleware-subrequest y mostré el acceso no autorizado a la página admin omitiendo el control del middleware.

Tecnologías utilizadas

• Docker
• Next.js
• Node.js
• Burp Suite Community Edition
• JavaScript

Estructura de archivos del proyecto

.
├── pages
│   ├── admin.js
│   ├── index.js
│   └── login.js
├── middleware.js
├── Dockerfile
├── package.json
└── README.md

Requisitos

Antes de ejecutar el proyecto deben estar instalados los siguientes elementos.

• Docker Desktop
• Git
• Burp Suite Community Edition

Instalación

Descargue el repositorio en su equipo.

git clone https://github.com/berraesen/nextjs-middleware-auth-bypass-lab.git

Entre en la carpeta.

cd nextjs-middleware-auth-bypass-lab

Cree la imagen de Docker.

docker build -t nextjs-auth-bypass .

Inicie el contenedor.

docker run -d -p 3000:3000 --name nextjs-lab nextjs-auth-bypass

Vaya a la siguiente dirección en el navegador.

http://localhost:3000

Estructura del laboratorio

En el proyecto se encuentran las siguientes páginas.

• Login
• Index
• Admin

El acceso a la página admin se controla a través del middleware.

Prueba de la vulnerabilidad

En primer lugar, intente acceder a la página /admin desde el navegador.

Como no tiene autorización, será redirigido a la página de inicio de sesión.

Capture la solicitud con Burp Suite.

Añada la siguiente cabecera HTTP a la solicitud.

x-middleware-subrequest: middleware

Envíe la solicitud de nuevo.

Se puede observar que, cuando se omite el control del middleware, es posible acceder a la página admin.

Resultado esperado

Una vez completada la instalación:

• Mientras el middleware funciona con normalidad, un usuario no autorizado no puede acceder a la página admin.
• Cuando la solicitud se modifica con Burp Suite, la verificación del middleware puede omitirse.
• Un usuario no autorizado puede acceder a la página admin.
• De este modo, la vulnerabilidad CVE-2025-29927 queda observada en el entorno de laboratorio.

Lógica de funcionamiento de la vulnerabilidad

İstemci
      │
      ▼
HTTP Request
      │
      ▼
Next.js Middleware
      │
      ├──────────────► Normal İstek
      │                     │
      │                     ▼
      │              Yetki Kontrolü
      │                     │
      │                     ▼
      │              Login Sayfasına Yönlendirme
      │
      ▼
x-middleware-subrequest
Header Eklendi
      │
      ▼
Middleware Kontrolü Atlandı
      │
      ▼
Admin Sayfasına Erişim

Prevención

Para solucionar esta vulnerabilidad, se recomienda sustituir las versiones afectadas de Next.js por versiones actualizadas.

Además, no debe realizarse la autorización únicamente en el middleware; también deben aplicarse controles de autorización adicionales en el lado del servidor.