Next.js Middleware Bypass Checker | CVE-2025-29927

Strumento automatizzato in Bash per rilevare applicazioni Next.js vulnerabili al bypass del middleware CVE-2025-29927, secondo la ricerca di Zhero Web Security.

Requisiti

• bash
• whatweb
• curl

Installali su Debian/Ubuntu con:

sudo apt install whatweb curl

Utilizzo

Scansionare un singolo URL

./CVE-2025-29927.sh -u https://example.com

Scansionare più URL

Crea un file urls.txt con un URL per riga:

https://target1.com
https://target2.com

Esegui:

./nextjs_bypass_checker_v2.sh -l urls.txt

Cosa fa lo script

1. Identificazione di Next.js

   • Usa whatweb per rilevare la tecnologia.
   • Tenta di leggere /_next/static/BUILD_ID e _buildManifest.js.

2. Rilevamento del Middleware

   • Verifica se il server risponde con le tipiche intestazioni del middleware di Next.js.
     • X-Middleware-Rewrite
     • X-Middleware-Set-Cookie

3. Test di bypass

   • Viene effettuata una richiesta senza x-middleware-subrequest e vengono rilevate le intestazioni.
   • Poi si ripete la richiesta utilizzando i vettori noti con l'header.
   • Se le intestazioni scompaiono, il middleware è stato bypassato con successo.

Output previsto

[*] Analizzando: https://victima.com
[+] WhatWeb:
    -> Rilevato: Next.js[12.2.0]
[+] BUILD_ID: 3fjd92hf8
[+] Versione rilevata: 12.2.0
[+] Middleware attivo (intestazioni rilevate):
    X-Middleware-Rewrite: /not-found/locale=en
[+] Test degli exploit:
    -> x-middleware-subrequest: middleware -> ✅ BYPASS RIUSCITO (intestazioni scomparse)
    -> x-middleware-subrequest: src/middleware -> ❌ Middleware non eluso
[*] Completato: https://victima.com

Disclaimer

Questo script è a scopo educativo e di audit autorizzato. Non utilizzarlo contro obiettivi senza consenso. L'uso improprio può costituire un'attività illegale.

Autore

• Roy Campos Vasquez — @RoyCampos

Basato sulla ricerca di: Zhero Web Security