CVE-2025-29927 - Vulnerabilidad de seguridad crítica en Next.js

Descripción general

CVE-2025-29927 es una vulnerabilidad de seguridad crítica que afecta a Next.js, un popular framework de React para crear aplicaciones web full-stack. Esta falla permite a los atacantes omitir las comprobaciones de autorización implementadas en el middleware de Next.js, lo que potencialmente otorga acceso no autorizado a áreas sensibles de una aplicación, como páginas de administración o paneles de usuario.

Detalles de la vulnerabilidad

La vulnerabilidad surge del manejo inadecuado del encabezado interno x-middleware-subrequest. Al crear solicitudes que incluyan este encabezado, un atacante puede omitir las comprobaciones de seguridad del middleware, saltándose efectivamente los mecanismos de autenticación y autorización.

Versiones afectadas

• Las versiones de Next.js anteriores a 14.2.25 y 15.2.3 son vulnerables.

Cómo usar

git clone https://github.com/ThemeHackers/CVE-2025-29972
cd CVE-2025-29972
python3 -m venv .venv
source .venv/bin/activate
python3 exploit.py -h

Uso rápido

git clone https://github.com/ThemeHackers/CVE-2025-29972
cd CVE-2025-29972
python3 -m venv .venv
source .venv/bin/activate
python3 exploit.py --hostname HOSTNAME

⚠️ Nota: Asegúrate de que tus aplicaciones Next.js estén siempre actualizadas a las últimas versiones estables para prevenir riesgos de seguridad.