Procédure pas à pas

Étape 1 (5 min)

Indice

Quels services réseau sont exposés par la cible ?

— — —

Solution


    kali@kali:~$ nmap <TARGET_IP>
    kali@kali:~$ nmap -sC -sV <TARGET_IP> -p <TARGET_PORTS>

Étape 2 (5 min)

Indice 1

La page d'accueil ne révèle qu'une page de connexion, mais les serveurs web exposent souvent des chemins supplémentaires.

Indice 2

Essayez d'utiliser un outil de brute force de répertoires tel que Gobuster ou DirBuster.

— — —

Solution


    kali@kali:~$ gobuster dir -u http://<TARGET_IP>:<TARGET_PORT>/ -w /usr/share/wordlists/dirb/common.txt


    ===============================================================
    Starting gobuster in directory enumeration mode
    ===============================================================
    api                  (Status: 307) [Size: 35] [--> /api/auth/signin?callbackUrl=%2Fapi]
    apis                 (Status: 307) [Size: 36] [--> /api/auth/signin?callbackUrl=%2Fapis]
    cgi-bin/             (Status: 308) [Size: 8] [--> /cgi-bin]
    dashboard            (Status: 307) [Size: 41] [--> /api/auth/signin?callbackUrl=%2Fdashboard]
    favicon.ico          (Status: 200) [Size: 25931]
    login                (Status: 200) [Size: 6252]
    Progress: 4613 / 4613 (100.00%)
    ===============================================================
    Finished
    ===============================================================

Étape 3 (20 min)

Indice 1

La page /dashboard redirige vers /login. Pouvez-vous trouver une information sur la page de connexion qui vous permettra de contourner la redirection ?

Indice 2

Pouvez-vous trouver quelque chose pour Next.js version 15.2.2 ?

Indice 3

Renseignez-vous sur la CVE-2025-29927. Utilisez le proxy de Burp Suite pour intercepter la requête et manipuler les en-têtes de requête avant de la transmettre.

— — —

Solution

Contexte

De nombreuses applications web protègent des routes sensibles (par exemple /dashboard) à l'aide d'un middleware. Le middleware vérifie la requête, valide les cookies de session et confirme les permissions de l'utilisateur. Si les vérifications échouent, le middleware redirige généralement l'utilisateur vers /login.

Mécanisme de la vulnérabilité

La CVE-2025-29927 est un défaut de conception dans le traitement du middleware de Next.js. Elle permet à un attaquant de contourner entièrement la protection du middleware en exploitant l'en-tête x-middleware-subrequest. Next.js utilise cet en-tête en interne pour empêcher les boucles infinies de middleware. Lorsqu'une requête est traitée, la fonction runMiddleware vérifie les en-têtes de la requête :

Si x-middleware-subrequest est présent
et que sa valeur contient le nom du middleware
alors Next.js ignore l'exécution du middleware et transmet la requête directement

Cela est censé être une optimisation interne, mais le défaut est que les utilisateurs externes peuvent également définir cet en-tête.

Le code vulnérable


    const subreq = params.request.headers["x-middleware-subrequest"];
    const subrequests = typeof subreq === "string" ? subreq.split(":") : [];
    if (subrequests.includes(middlewareInfo.name)) {
      result = {
        response: NextResponse.next(),
        waitUntil: Promise.resolve(),
      }
      continue;
    }

Pour les versions 13.2.0 et ultérieures

Next.js a introduit une profondeur de récursivité maximale pour l'exécution du middleware. Cela a été implémenté pour empêcher les boucles infinies, mais n'affecte pas la vulnérabilité.

x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

En utilisant cet en-tête, nous disons au middleware : « Ceci est déjà une requête générée par le middleware — ne réexécutez pas le middleware. »

Correctif

Next.js supprime désormais l'en-tête x-middleware-subrequest de toutes les requêtes externes entrantes avant l'exécution du middleware. L'en-tête n'est considéré comme fiable que lorsqu'il est créé dans l'environnement d'exécution de Next.js lors d'un chaînage légitime de middleware. Concrètement, la valeur de x-middleware-subrequest est désormais validée par rapport à une chaîne hexadécimale générée aléatoirement, garantissant que seules les requêtes de session internes légitimes passent les contrôles d'autorisation. Ainsi, même si un attaquant envoie l'en-tête, Next.js peut désormais faire la différence entre une véritable sous-requête interne (qui porte le jeton aléatoire correct) et une sous-requête usurpée provenant d'un attaquant externe.

Étape 4 (15 min)

Indice 1

Les téléversements de fichiers sont également protégés par le middleware, vous devez donc également envoyer l'en-tête de l'étape 3 avec chaque requête.

Indice 2

Les entrées utilisateur représentent toujours un risque élevé. Quoi d'autre, en dehors du contenu du fichier, est considéré ici comme une entrée utilisateur ? Et pouvez-vous trouver une information sur la page qui révèle comment l'image est traitée ?

Indice 3

Essayez quelques noms de fichiers malveillants. https://www.revshells.com/

— — —

Populaires

CVE-2025-29927-Proof-of-Concept

Procédure pas à pas

Étape 1 (5 min)

Étape 2 (5 min)

Étape 3 (20 min)

Contexte

Mécanisme de la vulnérabilité

Le code vulnérable

Pour les versions 13.2.0 et ultérieures

Correctif

Étape 4 (15 min)