Análisis de CVE-2025-29927 en Next.js

Este repositorio contiene un entorno de laboratorio Next.js autoalojado creado para analizar CVE-2025-29927 en Docker.

Resumen

CVE-2025-29927 es una vulnerabilidad relacionada con las comprobaciones de autorización implementadas en el middleware de Next.js. Este proyecto se creó como un laboratorio local para observar el comportamiento de las rutas protegidas por middleware en un entorno controlado.

Documentación

• Informe de análisis: docs/CVE-2025-29927-Analysis-Report.md
• Capturas de pantalla: docs/images/
• Script de PoC: poc.sh

Entorno

• Next.js
• Docker
• Ruta /admin protegida por middleware

Inicio rápido

1. Clonar el repositorio

git clone https://github.com/sangrok-jeon/CVE-2025-29927-Nextjs-Analysis.git
cd CVE-2025-29927-Nextjs-Analysis

2. Configuración del laboratorio

cd JSR-next15
docker build -t nextjs .
docker run --rm -p 3000:3000 nextjs

A continuación, abre:

• /
• /admin

3. Ejecución del PoC

chmod +x poc.sh
./poc.sh

Si es necesario, puedes pasar una URL de destino personalizada:

./poc.sh http://localhost:3000/admin

4. Alternativa con Docker Compose

docker compose -f JSR-next15/docker-compose.yml up -d --build

Estructura del proyecto

.
|-- JSR-next15/
|   |-- Dockerfile
|   |-- docker-compose.yml
|   |-- middleware.js
|   |-- package.json
|   |-- package-lock.json
|   |-- public/
|   `-- src/
|-- docs/
|   |-- CVE-2025-29927-Analysis-Report.md
|   `-- images/
|-- poc.sh
`-- README.md

Ejecución

cd JSR-next15
docker build -t nextjs .
docker run --rm -p 3000:3000 nextjs

Notas

• Este proyecto se creó para pruebas y análisis en un laboratorio local.
• El repositorio incluye un entorno mínimo de Next.js en JSR-next15/ para la validación del comportamiento del middleware.
• El informe detallado y las capturas de pantalla de reproducción se incluyen en docs/.

Autor

Creado por JSR para investigación de seguridad y análisis de CVE basado en laboratorio.

Descargo de responsabilidad

Este repositorio está destinado únicamente a investigación de seguridad autorizada y fines educativos. No lo utilices contra sistemas sin permiso explícito.