PoC-CVE-2025-29927

취약점은 무엇인가요?

• 이 CVE는 next.js에서 내부 요청을 처리하는 x-middleware-subrequest 헤더의 결함을 보고합니다. 이 결함으로 인해 공격자는 next.js 15.0.0의 인증 미들웨어를 우회하고 보호된 라우트에 접근할 수 있습니다. 예를 들어:

실제 예시

• 웹앱에 로그인한 사용자만 접근할 수 있는 /dashboard 라우트가 있다고 가정합니다. 그러나 x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware 헤더를 사용하여 요청을 보내면 인증 없이 이 라우트에 접근할 수 있습니다.