nextjs-auth-bypass

Analyse et exploitation d'une vulnérabilité de contournement d'autorisation dans Next.js (CVE-2025-29927)

Contournement d'autorisation Next.js – Analyse CVE

Aperçu

Ce projet illustre une vulnérabilité de contournement d'autorisation dans une application Next.js causée par une validation incorrecte du middleware.

Détails de la vulnérabilité

• Type : Contournement d'autorisation
• CVE : CVE-2025-29927
• Sévérité : Critique (CVSS 9.1)

Outils utilisés

• Burp Suite
• Kali Linux
• Firefox

Résumé de l'exploitation

• Interception de la requête HTTP à l'aide de Burp Suite
• Modification de l'en-tête de la requête pour contourner l'authentification
• Obtention d'un accès non autorisé au tableau de bord administrateur

Cause racine

Une validation incorrecte du middleware a permis le contournement des requêtes internes à l'aide d'en-têtes personnalisés.

Impact

• Accès administrateur non autorisé
• Exposition potentielle des données
• Élévation de privilèges

Atténuation

• Valider toutes les requêtes côté serveur
• Ne pas se fier aux en-têtes contrôlés par le client
• Mettre en œuvre des contrôles d'authentification stricts

Compétences démontrées

• Sécurité des applications web
• Burp Suite
• Analyse de vulnérabilités
• OWASP Top 10

Fichier du projet

Reportez-vous au PDF ci-joint pour les détails complets.