CVE-2025-29927: Explotación de Middleware en Next.js

Esta herramienta demuestra y automatiza la explotación de la CVE-2025-29927, una vulnerabilidad en Next.js que permite a un atacante omitir las comprobaciones de middleware (como la autenticación) abusando de la cabecera interna x-middleware-subrequest.

🔧 Cómo funciona el exploit

Next.js usa internamente la cabecera x-middleware-subrequest para evitar bucles infinitos en solicitudes recursivas. Sin embargo, esta cabecera no está protegida contra la manipulación externa en ciertas versiones, lo que permite a un actor malicioso falsificarla.

Al establecer esta cabecera manualmente, la lógica de middleware responsable de aplicar autenticación, redirecciones, registro o filtrado se omite por completo.

Qué hace esta herramienta:

• Envía una solicitud de referencia (sin la cabecera)
• Itera sobre múltiples payloads para x-middleware-subrequest
• Compara el contenido del cuerpo de la respuesta
• Detecta y reporta:
  • ✅ Bypass confirmado: el estado 403 se convierte en 200
  • ⚠️ Diferencia en la respuesta: el estado sigue igual, pero el contenido difiere (bypass parcial o comportamiento no deseado)
• Guarda los resultados en archivos de salida limpios para un análisis posterior

🔖 Versiones afectadas

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Objetivos vulnerables:

• Aplicaciones Next.js autoalojadas que usan middleware (p. ej., next start con salida: standalone)
• Aplicaciones donde el middleware se usa para autenticación o cumplimiento de seguridad y no se vuelve a validar en tiempo de ejecución

No vulnerables:

• Aplicaciones alojadas en Vercel o Netlify
• Exportaciones estáticas (next export)

👁️ Explotación en acción

Ejemplo de bypass de middleware:

Normal Request:
  GET /admin --> 403 Forbidden

Request with Header:
  GET /admin --> 200 OK
  x-middleware-subrequest: middleware 

Incluso si el objetivo verifica la autenticación mediante middleware, esto lo omite por completo.

⚙️ Instalación y uso

🔥 Clona el repositorio

git clone https://github.com/0x0Luk/0xMiddleware.git
cd 0xMiddleware

📂 Entrada

Crea un archivo llamado urls.txt con una URL por línea:

https://target.com/admin
https://target.com/_next/static/asset.js

🚀 Ejecuta la herramienta

python3 0xMiddleware.py urls.txt

⚙️ Qué hace

• Envía solicitudes a cada URL con y sin la cabecera de explotación

• Usa múltiples variaciones de payload:

  • middleware
  • pages/_middleware
  • src/middleware
  • (y más)

• Registra:

  • ✅ middleware_exploited.txt: para bypass reales (403 → 200)
  • ⚠️ middleware_response_diff.txt: cuando el contenido de la respuesta difiere

🚨 Corrección / Mitigación

Actualiza Next.js inmediatamente a una versión segura:

• 15.2.3+
• 14.2.25+
• 13.5.9+

Además:

• Asegúrate de que la validación del middleware se vuelva a comprobar en el servidor (p. ej., mediante getServerSideProps, JWT, sesiones)
• Sanea o rechaza el uso externo de cabeceras internas

✨ Ejemplo de salida

[✔] Bypass successful: https://target.com/admin (payload: middleware)
[•] Response difference detected: https://target.com/login (payload: src/middleware)

[✔] Found 3 bypasses > middleware_exploited.txt
[•] Found 5 response diffs > middleware_response_diff.txt

🔗 Referencias

• ✨ CVE: https://nextjs.org/blog/cve-2025-29927