CVE-2025-29927 : Le cauchemar du middleware Next.js

Ce dépôt est fourni strictement à des fins éducatives uniquement. Je n'ai pas découvert cette vulnérabilité - il s'agit d'une démonstration et d'une explication d'un problème de sécurité divulgué publiquement. Utiliser ces connaissances pour exploiter des systèmes vulnérables sans autorisation est illégal et contraire à l'éthique.

Et c'est reparti...

Si vous utilisez Next.js pour vos applications en production, arrêtez tout et vérifiez votre numéro de version. Il existe une grave vulnérabilité du middleware qui pourrait laisser votre système d'authentification complètement ouvert.

Cette vulnérabilité critique a été divulguée et corrigée de manière responsable, je partage donc cette démonstration éducative pour aider les développeurs à comprendre le problème et à protéger leurs systèmes.

Quelle est la vulnérabilité ?

• Identifiant CVE : CVE-2025-29927
• Sévérité : Critique (CVSS 9.1) - C'est aussi grave que ça puisse l'être, les amis
• Divulgué : 21 mars 2025
• Versions affectées :
  • Next.js 15.x avant 15.2.3
  • Next.js 14.x avant 14.2.25
  • Next.js 11.1.4 jusqu'à 13.5.6 (oui, autant de versions !)

Analyse technique

Le problème réside dans la façon dont Next.js gère le en-tête HTTP interne x-middleware-subrequest. Cet en-tête a été conçu pour empêcher la récursion du middleware, mais les attaquants peuvent le manipuler pour contourner complètement l'exécution du middleware.

Pensez à ce que cela signifie - toute sécurité basée sur le middleware est potentiellement inefficace :

• Vérifications d'authentification ? Contournées.
• Routes réservées aux administrateurs ? Grand ouvert.
• Limitation de débit ? Non.
• Blocage IP ? Inefficace.

Des rapports font état de l'utilisation de cette vulnérabilité dans la nature pour accéder à des panneaux d'administration, des données utilisateur, et même des informations financières. Certaines organisations ont vu leurs données sensibles exposées sans même le savoir.

Preuve de concept

Ce dépôt inclut :

• Une application Next.js vulnérable montrant l'authentification typique par middleware
• Un script d'exploit éducatif montrant comment le contournement fonctionne
• Plusieurs façons de corriger vos systèmes

Corrigez maintenant !

Meilleure option : Mettez à jour dès que possible

• Vous utilisez Next.js 15 ? → Mettez à jour vers 15.2.3+
• Sur Next.js 14 ? → Mettez à jour vers 14.2.25+
• Bloqué sur des versions plus anciennes ? → Utilisez l'une des solutions de contournement ci-dessous

Impossible de mettre à jour immédiatement ? Essayez ceci :

Méthode Nginx :

# Strips the problematic header
proxy_set_header x-middleware-subrequest "";

Méthode Apache :

# Does the same thing for Apache users
RequestHeader unset x-middleware-subrequest

Approche Express.js :

// Quick middleware fix until you can properly update
app.use((req, res, next) => {
  delete req.headers['x-middleware-subrequest'];
  next();
});

Leçons de sécurité et ressources utiles

Cette vulnérabilité renforce d'importants principes de sécurité :

1. Restez à jour avec les correctifs de sécurité
2. Ne faites jamais confiance aux en-têtes provenant du client
3. Mettez en œuvre une défense en profondeur - ne comptez pas uniquement sur le middleware

Consultez ces ressources pour créer des applications Next.js plus sécurisées :

• Meilleures pratiques de sécurité Next.js
• Guide de test de sécurité Web de l'OWASP
• Meilleures pratiques de sécurité des applications Web

Ce dépôt fournit une explication technique et une démonstration de CVE-2025-29927 à des fins éducatives uniquement. Toutes les informations sont basées sur des détails divulgués publiquement qui ont été correctement corrigés. Si vous découvrez des vulnérabilités de sécurité dans un logiciel, suivez toujours les pratiques de divulgation responsable :

1. Signalez le problème directement au vendeur/mainteneur
2. Accordez-leur un délai raisonnable pour résoudre le problème
3. Ne divulguez pas publiquement tant qu'un correctif n'est pas disponible
4. N'exploitez jamais les vulnérabilités sur des systèmes sans autorisation explicite

Dernières réflexions

Cette vulnérabilité montre comment même des frameworks bien conçus peuvent présenter des failles de sécurité critiques. Restez vigilants et faites de la mise à jour des dépendances une partie de votre flux de travail régulier.

N'hésitez pas à me contacter si vous avez des questions ou si vous avez besoin d'aide pour mettre en œuvre l'une de ces corrections !