CVE-2025-29927: Vulnerabilità di bypass del middleware di Next.js

Questo repository dimostra la vulnerabilità CVE-2025-29927 in Next.js, dove l'header interno x-middleware-subrequest può essere utilizzato per bypassare i controlli del middleware come l'autenticazione.

Dettagli della vulnerabilità

Next.js utilizza un header interno x-middleware-subrequest per impedire che richieste ricorsive inneschino loop infiniti. La vulnerabilità di sicurezza mostra che è possibile saltare l'esecuzione del Middleware, consentendo alle richieste di bypassare controlli critici—come la validazione dei cookie di autorizzazione—prima di raggiungere le route.

Versioni interessate

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Ambito di impatto

Interessati

• Applicazioni Next.js self-hosted che utilizzano Middleware (next start con output: standalone)
• Applicazioni che si affidano al Middleware per controlli di autenticazione o sicurezza, che non vengono poi validati successivamente nell'applicazione

Non interessati

• Applicazioni ospitate su Vercel
• Applicazioni ospitate su Netlify
• Applicazioni distribuite come esportazioni statiche (Middleware non eseguito)

Passaggi per la riproduzione

1. Clona questo repository
2. Installa le dipendenze: npm install
3. Compila l'applicazione: npm run build
4. Avvia l'applicazione in modalità produzione: node .next/standalone/server.js
5. Testa la vulnerabilità: node exploit-test.js

Come funziona l'exploit

L'exploit aggiunge l'header x-middleware-subrequest: middleware per bypassare i controlli di autenticazione del middleware di Next.js.

Il middleware in questa app demo reindirizza gli utenti non autenticati lontano dalle route protette, ma con l'header dell'exploit questo controllo può essere bypassato.

Correzione

Aggiorna a una delle seguenti versioni corrette:

• Next.js 15.2.3 o superiore
• Next.js 14.2.25 o superiore
• Next.js 13.5.9 o superiore

Fonte

• https://nextjs.org/blog/cve-2025-29927