alastair66/cve-2025-29927Vulnerabilità di bypass del middleware di Next.js
Vulnerabilità di bypass del middleware Next.js
Esercitazione pratica sulla vulnerabilità CVE-2025-29927 in un'applicazione Next.js dove l'header interno x-middleware-subrequest può essere utilizzato per aggirare l'autenticazione del middleware e l'accesso ristretto.
Next.js utilizza un header interno "x-middleware-subrequest" per prevenire che richieste ricorsive inneschino loop infiniti. La vulnerabilità di sicurezza dimostra che è possibile saltare l'esecuzione del Middleware, il che potrebbe consentire alle richieste di aggirare controlli critici—come autorizzazione, validazione dei cookie—prima di raggiungere le rotte.
Next.Js 15.2.3, 14.2.25, 13.5.9, 12.3.5
