CVE-2025-29927: L'incubo del middleware di Next.js

Questo repository è fornito esclusivamente a scopo didattico. Non ho scoperto io questa vulnerabilità - si tratta di una dimostrazione e spiegazione di un problema di sicurezza divulgato pubblicamente. Sfruttare queste conoscenze per attaccare sistemi vulnerabili senza autorizzazione è illegale e contrario all'etica.

Ecco di nuovo qui...

Se usi Next.js per le tue app in produzione, fermati immediatamente e controlla il numero di versione. C'è una grave vulnerabilità nel middleware che potrebbe lasciare completamente esposto il tuo intero sistema di autenticazione.

Questa vulnerabilità critica è stata divulgata in modo responsabile e corretta, quindi condivido questa dimostrazione didattica per aiutare gli sviluppatori a comprendere il problema e proteggere i propri sistemi.

Qual è la vulnerabilità?

• ID CVE: CVE-2025-29927
• Gravità: Critica (CVSS 9.1) - Non si può fare di peggio, gente
• Divulgata: 21 marzo 2025
• Versioni interessate:
  • Next.js 15.x precedente alla 15.2.3
  • Next.js 14.x precedente alla 14.2.25
  • Next.js dalla 11.1.4 alla 13.5.6 (sì, tutte queste versioni!)

La spiegazione tecnica

Il problema risiede nel modo in cui Next.js gestisce l'header HTTP interno x-middleware-subrequest. Questo header era stato progettato per prevenire la ricorsione del middleware, ma gli attaccanti possono manipolarlo per bypassare completamente l'esecuzione del middleware.

Pensa a cosa significa: qualsiasi sicurezza basata sul middleware potrebbe essere inefficace:

• Controlli di autenticazione? Bypassati.
• Rotta solo-admin? Spalancate.
• Limitazione della frequenza (rate limiting)? Niente da fare.
• Blocco IP? Inefficace.

Ci sono state segnalazioni di questa vulnerabilità sfruttata in natura per accedere a pannelli di amministrazione, dati utente e persino informazioni finanziarie. Alcune organizzazioni hanno esposto i propri dati sensibili senza nemmeno saperlo.

Proof of Concept

Questo repository include:

• Un'app Next.js vulnerabile che mostra un tipico middleware di autenticazione
• Uno script di sfruttamento didattico che mostra come funziona il bypass
• Molteplici modi per correggere i tuoi sistemi

Sistemalo subito!

Opzione migliore: aggiorna al più presto

• Usi Next.js 15? → Aggiorna alla 15.2.3+
• Sei su Next.js 14? → Aggiorna alla 14.2.25+
• Bloccato su versioni precedenti? → Usa una delle soluzioni alternative qui sotto

Non puoi aggiornare subito? Prova queste:

Soluzione con Nginx:

# Rimuove l'header problematico
proxy_set_header x-middleware-subrequest "";

Soluzione con Apache:

# Fa la stessa cosa per gli utenti Apache
RequestHeader unset x-middleware-subrequest

Approccio con Express.js:

// Correzione rapida nel middleware finché non puoi aggiornare correttamente
app.use((req, res, next) => {
  delete req.headers['x-middleware-subrequest'];
  next();
});

Lezioni di sicurezza e risorse utili

Questa vulnerabilità rafforza importanti principi di sicurezza:

1. Tieniti aggiornato sui patch di sicurezza
2. Non fidarti mai degli header provenienti dal client
3. Implementa la difesa in profondità - non affidarti esclusivamente al middleware

Dai un'occhiata a queste risorse per creare app Next.js più sicure:

• Best practice di sicurezza di Next.js
• Guida di OWASP ai test di sicurezza web
• Best practice per la sicurezza delle applicazioni web

Questo repository fornisce una spiegazione tecnica e una dimostrazione della CVE-2025-29927 esclusivamente a scopo didattico. Tutte le informazioni si basano su dettagli divulgati pubblicamente e già corretti con patch. Se scopri vulnerabilità di sicurezza in qualsiasi software, segui sempre le pratiche di divulgazione responsabile:

1. Segnala il problema direttamente al fornitore/mantainer
2. Concedi loro un tempo ragionevole per affrontare il problema
3. Non divulgare pubblicamente finché non è disponibile una patch
4. Non sfruttare mai vulnerabilità su sistemi senza autorizzazione esplicita

Considerazioni finali

Questa vulnerabilità dimostra come anche framework ben progettati possano avere gravi falle di sicurezza. Resta vigile là fuori e rendi l'aggiornamento delle dipendenze parte del tuo flusso di lavoro abituale.

Sentiti libero di contattarmi per domande o se hai bisogno di aiuto per implementare una di queste correzioni!