Hola Mundo - Next.js 12.2

Una aplicación simple de prueba de concepto Next.js 12.2.

🚀 Inicio Rápido

1. Instalar Dependencias

npm install

2. Ejecutar el Servidor de Desarrollo

npm run dev

La aplicación estará disponible en http://localhost:3000

🛠️ Scripts Disponibles

• npm run dev - Iniciar servidor de desarrollo
• npm run build - Compilar para producción
• npm run start - Iniciar servidor de producción

🎯 Características

• ✅ Next.js 12.2 - Última versión estable
• ✅ React 18.2 - Funciones modernas de React
• ✅ Diseño Simple - Interfaz limpia y responsiva
• ✅ Sistema de Autenticación - Inicio de sesión con credenciales hardcodeadas
• ✅ Panel de Administración - Dashboard protegido con datos sensibles
• ✅ Middleware Vulnerable - Demuestra técnicas de evasión de autenticación
• ✅ Demo de Exploit - Problemas de seguridad fáciles de reproducir

🔧 Personalización

Edita pages/index.js para modificar la página de Hola Mundo. La aplicación usa estilos en línea por simplicidad, pero puedes agregar archivos CSS o librerías de estilos según sea necesario.

🔓 Demo de Seguridad CVE-2025-29927

Esta aplicación demuestra la vulnerabilidad CVE-2025-29927 descubierta por Rachid.A (zhero) y Yasser Allam (inzo_):

📋 Detalles de la Vulnerabilidad

• CVE: CVE-2025-29927
• CVSS: 9.1/10 (Crítico)
• Afectado: Next.js 11.1.4 - 15.2.2
• Impacto: Bypass completo del middleware usando el encabezado x-middleware-subrequest

🎯 Credenciales de Demo

• Usuario: admin
• Contraseña: admin

🚨 Métodos de Explotación CVE-2025-29927

1. Extensión de Navegador (ModHeader) - Agregar el encabezado x-middleware-subrequest: middleware
2. Consola JavaScript - Usar fetch con el encabezado de bypass
3. Exploit cURL - curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin
4. Python Requests - Agregar encabezado para saltar el middleware por completo

🔧 Variaciones del Payload

• Next.js 12.2+: x-middleware-subrequest: middleware
• Con directorio /src: x-middleware-subrequest: src/middleware
• Next.js 15.x: x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

🛡️ Mitigación

• Actualizar a Next.js 15.2.3+ (14.2.25+ para 14.x)
• Bloquear el encabezado x-middleware-subrequest a nivel de proxy/CDN
• Implementar validación adicional del lado del servidor

⚠️ ADVERTENCIA: ¡Esto demuestra un CVE real solo con fines educativos!

📦 Dependencias

• next: 12.2.0
• react: 18.2.0
• react-dom: 18.2.0

🎨 Estilos

Esta aplicación usa estilos en línea por simplicidad. Para una aplicación en producción, considera usar:

• CSS Modules
• Styled Components
• Tailwind CSS
• O cualquier otra solución de estilos

¡Feliz codificación! 🚀