CVE-2025-29927 – Next.js मिडलवेयर प्राधिकरण बाईपास

यह रिपॉजिटरी CVE-2025-29927 के लिए एक कार्यात्मक शोषण (exploit) प्रदान करती है, जो Next.js में एक महत्वपूर्ण प्राधिकरण बाईपास भेद्यता है। यह दोष हमलावरों को मिडलवेयर-आधारित प्रमाणीकरण और प्राधिकरण जांचों को बायपास करने की अनुमति देता है, जिससे संरक्षित रूट्स तक अनधिकृत पहुंच प्राप्त होती है।​

विवरण

CVE-2025-29927 Next.js मिडलवेयर में एक महत्वपूर्ण भेद्यता है जो हमलावरों को x-middleware-subrequest नामक आंतरिक हेडर युक्त एक विशेष रूप से तैयार HTTP अनुरोध भेजकर प्रमाणीकरण और प्राधिकरण जांचों को बायपास करने की अनुमति देती है। यह हेडर मिडलवेयर निष्पादन के दौरान अनंत पुनरावृत्ति को रोकने के लिए आंतरिक उपयोग के लिए है। हालांकि, इसके अनुचित संभालने से हमलावर इस तंत्र का शोषण करके मिडलवेयर जांचों को छोड़ सकते हैं, जो संभावित रूप से संवेदनशील प्रशासनिक रूट्स और संरक्षित सामग्री को उजागर कर सकता है।​

यह भेद्यता निम्नलिखित Next.js संस्करणों को प्रभावित करती है:​

• 15.2.3
• 14.2.25
• 13.5.9
• 12.3.5

महत्वपूर्ण कार्यों, जैसे प्रमाणीकरण या सुरक्षा जांच, के लिए मिडलवेयर का उपयोग करने वाले और प्रभावित संस्करणों पर चलने वाले अनुप्रयोग इस शोषण के प्रति संवेदनशील हैं। विशेष रूप से, Vercel पर होस्ट किए गए डिप्लॉयमेंट इस भेद्यता के विरुद्ध स्वचालित रूप से सुरक्षित हैं।

स्थापना निर्देश

1. एक वर्चुअल वातावरण बनाएं (वैकल्पिक लेकिन अनुशंसित):

python3 -m venv .venv
source .venv/bin/activate

2. निर्भरताएं स्थापित करें:

pip install -r requirements.txt

आवश्यकताएँ

• Python 3.7+

  • requests लाइब्रेरी
  • colorama लाइब्रेरी
  • beautifulsoup4 लाइब्रेरी

• मिडलवेयर-आधारित एक्सेस कंट्रोल वाला असुरक्षित Next.js एप्लिकेशन

उपयोग

python3 exploit.py --host <IP> --port <PORT> --path <PATH> --method <METHOD>