CVE-2025-29927

★ CVE-2025-29927 PoC de contournement du middleware Next.js ★

Description

CVE-2025-29927 : PoC de contournement du middleware Next.js description: Next.js est un framework React pour créer des applications web full-stack. À partir de la version 1.11.4 et avant les versions 12.3.5, 13.5.9, 14.2.25 et 15.2.3, il est possible de contourner les contrôles d'autorisation dans une application Next.js, si le contrôle d'autorisation a lieu dans le middleware. Si le passage à une version sûre est impossible, il est recommandé d'empêcher les requêtes utilisateur externes contenant l'en-tête x-middleware-subrequest d'atteindre votre application Next.js. Cette vulnérabilité est corrigée dans les versions 12.3.5, 13.5.9, 14.2.25 et 15.2.3.

Configuration du laboratoire

cd next15
docker build --tag nextjs .
docker run -p 3000:3000 -it --rm nextjs

Comment utiliser

Git clone

git clone https://github.com/EQSTLab/CVE-2025-29927.git
cd CVE-2025-29927

Commande

chmod +x poc.sh
./poc.sh

Sortie