phoscoder/ghost-routeScanner basato su Python che rileva la vulnerabilità di bypass del middleware CVE-2025-29927 nei siti Next.js inviando un header x-middleware-subrequest appositamente creato a percorsi protetti.
Uno script Python per verificare i siti Next.js per la vulnerabilità del middleware corrotto (CVE-2025-29927).
La vulnerabilità del middleware corrotto permette a un attaccante di bypassare l'autenticazione e accedere a rotte protette inviando un header personalizzato x-middleware-subrequest.
Versioni di Next.js interessate:
[!WARNING] Questo strumento è solo a scopo educativo. Non utilizzarlo su siti web o sistemi di cui non possiedi o non hai esplicito permesso di testare. I test non autorizzati potrebbero essere illegali e non etici.
Clona il repository
git clone https://github.com/takumade/ghost-route.git
cd ghost-route
Crea e attiva l'ambiente virtuale
python -m venv .venv
source .venv/bin/activate
Installa le dipendenze
pip install -r requirements.txt
python ghost-route.py <url> <path> <show_headers>
<url>: URL base del sito Next.js (es. https://example.com)<path>: Percorso protetto da testare (default: /admin)<show_headers>: Mostra gli header della risposta (default: False)Esempio base
python ghost-route.py https://example.com /admin
Mostra gli header della risposta
python ghost-route.py https://example.com /admin True
MIT License