Next.js CVE-2025-29927

Questo repository contiene una proof of concept per la vulnerabilità CVE-2025-29927 in Next.js, dove l'header interno x-middleware-subrequest può essere sfruttato per bypassare i controlli del middleware come l'autenticazione.

Versioni Affette

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Installazione

🧪 Questo progetto è stato testato con Next.js v13.4.19.

1. Clona il repository:

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. Installa le dipendenze:

npm install

Esecuzione dell'Applicazione

1. Avvia il server di sviluppo:

npm run dev

2. Accedi all'applicazione nel tuo browser:

http://localhost:3000

Come funziona il sito web

L'applicazione dimostra un semplice sistema di autenticazione con una rotta protetta che può essere bypassata utilizzando la vulnerabilità CVE-2025-29927. Ecco come funziona:

1. Pagina Home (/)

   • Mostra un messaggio di benvenuto e un pulsante di login
   • Quando cliccato, il pulsante di login imposta un cookie di autenticazione falso (auth-token)
   • Dopo aver "effettuato l'accesso", gli utenti vengono reindirizzati alla pagina protetta

2. Pagina Protetta (/protected)

   • Contiene informazioni sensibili che dovrebbero essere accessibili solo agli utenti autenticati
   • Protetta dal middleware che verifica la presenza del cookie auth-token
   • Normalmente, gli utenti non autenticati verrebbero reindirizzati alla home page

3. Protezione del Middleware

   • Il middleware controlla se l'utente ha un cookie auth-token
   • Se non autenticato e tenta di accedere alle rotte /protected/*, reindirizza alla home page
   • Questa protezione può essere bypassata utilizzando la vulnerabilità

4. Dimostrazione della Vulnerabilità

   • L'applicazione mostra come l'header x-middleware-subrequest può essere sfruttato
   • Ciò permette agli aggressori di bypassare il controllo di autenticazione del middleware
   • Anche senza un cookie auth-token valido, gli aggressori possono accedere alle rotte protette

Come sfruttare la vulnerabilità

Questa applicazione include una rotta protetta in /protected che normalmente richiede autenticazione. Tuttavia, utilizzando l'header x-middleware-subrequest: middleware in una richiesta come curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected, è possibile bypassare il controllo di autenticazione.

Puoi anche riprodurre questo comportamento utilizzando Burp Suite intercettando la richiesta e aggiungendo manualmente l'header.

Per provarlo con Burp Suite, apri la scheda Proxy e vai alla sotto-scheda Intercept. Assicurati che Intercept is On, poi clicca su Open Browser e naviga verso la rotta protetta: http://localhost:3000/protected

Burp Suite catturerà la richiesta alla rotta protetta. Da lì, aggiungi il seguente header: x-middleware-subrequest: middleware (evidenziato nello screenshot sopra). Infine, inoltra la richiesta e accedi alla rotta protetta.

Soluzione

• Aggiorna a una delle seguenti versioni corrette:
• Next.js 15.2.3 o superiore
• Next.js 14.2.25 o superiore
• Next.js 13.5.9 o superiore

Fonti

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927