Next.js Middleware Bypass Checker | CVE-2025-29927

Outil automatisé en Bash pour détecter les applications Next.js vulnérables au contournement de middleware CVE-2025-29927, selon les recherches de Zhero Web Security.

Prérequis

• bash
• whatweb
• curl

Installez-les sur Debian/Ubuntu avec :

sudo apt install whatweb curl

Utilisation

Analyser une seule URL

./CVE-2025-29927.sh -u https://example.com

Analyser plusieurs URL

Créez un fichier urls.txt avec une URL par ligne :

https://target1.com
https://target2.com

Exécutez :

./nextjs_bypass_checker_v2.sh -l urls.txt

Ce que fait le script

1. Identification de Next.js

   • Utilise whatweb pour détecter la technologie.
   • Essaie de lire /_next/static/BUILD_ID et _buildManifest.js.

2. Détection du middleware

   • Vérifie si le serveur répond avec des en-têtes typiques du middleware Next.js.
     • X-Middleware-Rewrite
     • X-Middleware-Set-Cookie

3. Test de contournement

   • Une requête est effectuée sans x-middleware-subrequest et les en-têtes sont détectés.
   • Ensuite, la requête est répétée en utilisant les vecteurs connus avec l'en-tête.
   • Si les en-têtes disparaissent, le middleware a été contourné avec succès.

Sortie attendue

[*] Analizando: https://victima.com
[+] WhatWeb:
    -> Detectado: Next.js[12.2.0]
[+] BUILD_ID: 3fjd92hf8
[+] Versión detectada: 12.2.0
[+] Middleware activo (cabeceras detectadas):
    X-Middleware-Rewrite: /not-found/locale=en
[+] Probando exploits:
    -> x-middleware-subrequest: middleware -> ✅ BYPASS EXITOSO (cabeceras desaparecieron)
    -> x-middleware-subrequest: src/middleware -> ❌ Middleware no evadido
[*] Finalizado: https://victima.com

Avertissement

Ce script est à des fins éducatives et d'audit autorisé. Ne l'utilisez pas contre des cibles sans consentement. Une utilisation abusive peut constituer une activité illégale.

Auteur

• Roy Campos Vasquez — @RoyCampos

Basé sur les recherches de : Zhero Web Security