Hello World - Next.js 12.2

Une simple application de preuve de concept Next.js 12.2.

🚀 Démarrage rapide

1. Installer les dépendances

npm install

2. Lancer le serveur de développement

npm run dev

L'application sera disponible à l'adresse http://localhost:3000

🛠️ Scripts disponibles

• npm run dev - Lancer le serveur de développement
• npm run build - Construire pour la production
• npm run start - Lancer le serveur de production

🎯 Fonctionnalités

• ✅ Next.js 12.2 - Dernière version stable
• ✅ React 18.2 - Fonctionnalités React modernes
• ✅ Design simple - Interface propre et responsive
• ✅ Système d'authentification - Connexion avec identifiants codés en dur
• ✅ Panneau d'administration - Tableau de bord protégé avec données sensibles
• ✅ Middleware vulnérable - Démontre les techniques de contournement d'authentification
• ✅ Démo d'exploit - Facile à reproduire les problèmes de sécurité

🔧 Personnalisation

Modifiez pages/index.js pour modifier la page Hello World. L'application utilise des styles en ligne pour simplifier, mais vous pouvez ajouter des fichiers CSS ou des bibliothèques de style selon vos besoins.

🔓 Démo de sécurité CVE-2025-29927

Cette application démontre la vulnérabilité CVE-2025-29927 découverte par Rachid.A (zhero) et Yasser Allam (inzo_) :

📋 Détails de la vulnérabilité

• CVE: CVE-2025-29927
• CVSS: 9.1/10 (Critique)
• Affecté: Next.js 11.1.4 - 15.2.2
• Impact: Contournement complet du middleware via l'en-tête x-middleware-subrequest

🎯 Identifiants de démo

• Nom d'utilisateur: admin
• Mot de passe: admin

🚨 Méthodes d'exploitation CVE-2025-29927

1. Extension de navigateur (ModHeader) - Ajouter l'en-tête x-middleware-subrequest: middleware
2. Console JavaScript - Utiliser fetch avec l'en-tête de contournement
3. Exploit cURL - curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin
4. Requêtes Python - Ajouter un en-tête pour contourner complètement le middleware

🔧 Variations de payload

• Next.js 12.2+: x-middleware-subrequest: middleware
• Avec le répertoire /src: x-middleware-subrequest: src/middleware
• Next.js 15.x: x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

🛡️ Atténuation

• Mettre à jour vers Next.js 15.2.3+ (14.2.25+ pour la version 14.x)
• Bloquer l'en-tête x-middleware-subrequest au niveau du proxy/CDN
• Mettre en place une validation supplémentaire côté serveur

⚠️ AVERTISSEMENT : Ceci démontre une vraie CVE à des fins éducatives uniquement !

📦 Dépendances

• next: 12.2.0
• react: 18.2.0
• react-dom: 18.2.0

🎨 Style

Cette application utilise des styles en ligne pour simplifier. Pour une application en production, envisagez d'utiliser :

• CSS Modules
• Styled Components
• Tailwind CSS
• Ou toute autre solution de style

Bon code ! 🚀