Next.js CVE-2025-29927

Ce dépôt contient une preuve de concept pour la vulnérabilité CVE-2025-29927 dans Next.js, où l'en-tête interne x-middleware-subrequest peut être exploité pour contourner les contrôles du middleware tels que l'authentification.

Versions affectées

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Installation

🧪 Ce projet a été testé avec Next.js v13.4.19.

1. Clonez le dépôt :

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. Installez les dépendances :

npm install

Exécution de l'application

1. Démarrez le serveur de développement :

npm run dev

2. Accédez à l'application dans votre navigateur :

http://localhost:3000

Fonctionnement du site

L'application démontre un système d'authentification simple avec une route protégée qui peut être contournée en utilisant la vulnérabilité CVE-2025-29927. Voici comment cela fonctionne :

1. Page d'accueil (/)

   • Affiche un message de bienvenue et un bouton de connexion
   • Lorsqu'il est cliqué, le bouton de connexion définit un faux cookie d'authentification (auth-token)
   • Après la « connexion », les utilisateurs sont redirigés vers la page protégée

2. Page protégée (/protected)

   • Contient des informations sensibles qui ne devraient être accessibles qu'aux utilisateurs authentifiés
   • Protégée par un middleware qui vérifie la présence du cookie auth-token
   • Normalement, les utilisateurs non authentifiés seraient redirigés vers la page d'accueil

3. Protection du middleware

   • Le middleware vérifie si l'utilisateur a un cookie auth-token
   • S'il n'est pas authentifié et tente d'accéder aux routes /protected/*, il redirige vers la page d'accueil
   • Cette protection peut être contournée en utilisant la vulnérabilité

4. Démonstration de la vulnérabilité

   • L'application montre comment l'en-tête x-middleware-subrequest peut être exploité
   • Cela permet aux attaquants de contourner la vérification d'authentification du middleware
   • Même sans cookie auth-token valide, les attaquants peuvent accéder aux routes protégées

Comment exploiter

Cette application inclut une route protégée à /protected qui nécessite normalement une authentification. Cependant, en utilisant l'en-tête x-middleware-subrequest: middleware dans une requête comme curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected, vous pouvez contourner la vérification d'authentification.

Vous pouvez également reproduire ce comportement en utilisant Burp Suite en interceptant la requête et en ajoutant manuellement l'en-tête.

Pour essayer cela avec Burp Suite, ouvrez l'onglet Proxy et allez dans le sous-onglet Intercept. Assurez-vous que Intercept is On, puis cliquez sur Open Browser et naviguez vers la route protégée : http://localhost:3000/protected

Burp Suite capturera la requête vers la route protégée. À partir de là, ajoutez l'en-tête suivant : x-middleware-subrequest: middleware (surligné dans la capture d'écran ci-dessus). Enfin, transmettez la requête et accédez à la route protégée.

Solution

Mettez à jour vers l'une des versions corrigées suivantes :

• Next.js 15.2.3 ou supérieur
• Next.js 14.2.25 ou supérieur
• Next.js 13.5.9 ou supérieur

Sources

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927