jeymo092/cve-2025-29927Proof-of-concept exploit per CVE-2025-29927, una vulnerabilità di bypass del middleware in Next.js. Include payload specifici per versione e un laboratorio basato su Docker per testare l'accesso non autorizzato a rotte protette.
Tutte le versioni di Next.js dalla 11.1.4 alla 13.5.6, le 14.x precedenti alla 14.2.25 e le 15.x precedenti alla 15.2.3 sono interessate da questa vulnerabilità. L'impatto è particolarmente significativo per le applicazioni che si affidano al middleware per implementare i controlli di accesso, poiché gli attaccanti possono ottenere accesso non autorizzato a risorse protette senza autenticazione.
La vulnerabilità CVE-2025-29927 deriva da un difetto di progettazione nel modo in cui Next.js elabora l'header x-middleware-subrequest. Questo header era originariamente destinato all'uso interno del framework Next.js per prevenire loop infiniti di esecuzione del middleware.
Quando un'applicazione Next.js utilizza il middleware, la funzione runMiddleware viene chiamata per elaborare le richieste in arrivo. Come parte della sua funzionalità, questa funzione controlla la presenza dell'header x-middleware-subrequest. Se questo header esiste e contiene un valore specifico, l'esecuzione del middleware viene saltata del tutto e la richiesta viene inoltrata direttamente alla sua destinazione originale tramite .
NextResponse.next()La vulnerabilità risiede nel fatto che questo controllo dell'header può essere sfruttato da utenti esterni. Aggiungendo l'header x-middleware-subrequest con il valore corretto a una richiesta, un attaccante può aggirare completamente qualsiasi meccanismo di protezione basato su middleware.
Clonare il repository:
git clone <repository_url>
Spostarsi nella directory del progetto:
cd nextjs-docker-app
Creare l'immagine Docker:
docker build -t nextjs-app .
Eseguire il container Docker:
docker run -p 3000:3000 nextjs-app
Accedere all'applicazione nel browser all'indirizzo http://localhost:3000.
Il metodo di sfruttamento varia leggermente a seconda della versione di Next.js:
In queste versioni, i file del middleware dovevano essere denominati _middleware.ts e collocati all'interno della cartella pages. Il valore di middlewareInfo.name era composto dal nome della directory e dal nome del file:
x-middleware-subrequest: pages/_middleware
Per le rotte annidate, potevano esserci più file middleware a diversi livelli, con conseguenti molteplici valori possibili per l'header:
x-middleware-subrequest: pages/dashboard/_middleware
oppure
x-middleware-subrequest: pages/dashboard/panel/_middleware
A partire dalla versione 12.2, Next.js ha modificato le convenzioni del middleware. Il file deve essere denominato middleware.ts (senza underscore) e non deve più trovarsi nella cartella pages. Per queste versioni, il payload è più semplice:
x-middleware-subrequest: middleware
Inoltre, Next.js consente una struttura alternativa del progetto con una directory /src. In tali casi, il payload sarebbe:
x-middleware-subrequest: src/middleware
Per le versioni 13.2.0 e successive, Next.js ha introdotto una profondità massima di ricorsione per l'esecuzione del middleware. Questa è stata implementata per prevenire loop infiniti ma non influisce sulla vulnerabilità. Lo sfruttamento rimane lo stesso, poiché il controllo dell'header avviene prima di qualsiasi controllo sulla profondità di ricorsione.
x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware
In alternativa, per i progetti che utilizzano una struttura di directory /src:
x-middleware-subrequest: src/middleware:src/middleware:src/middleware:sr
=======
# cve-2025-29927
>>>>>>> 56c7b2dcd548caf771750519107bf7c57749a864