Next.js CVE-2025-29927

Este repositório contém uma prova de conceito para a vulnerabilidade CVE-2025-29927 no Next.js, onde o cabeçalho interno x-middleware-subrequest pode ser explorado para contornar verificações de middleware, como autenticação.

Versões Afetadas

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Instalação

🧪 Este projeto foi testado com Next.js v13.4.19.

1. Clone o repositório:

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. Instale as dependências:

npm install

Executando a Aplicação

1. Inicie o servidor de desenvolvimento:

npm run dev

2. Acesse a aplicação no seu navegador:

http://localhost:3000

Como o site funciona

A aplicação demonstra um sistema de autenticação simples com uma rota protegida que pode ser contornada usando a vulnerabilidade CVE-2025-29927. Veja como funciona:

1. Página Inicial (/)

   • Exibe uma mensagem de boas-vindas e um botão de login
   • Quando clicado, o botão de login define um cookie de autenticação falso (auth-token)
   • Após "fazer login", os usuários são redirecionados para a página protegida

2. Página Protegida (/protected)

   • Contém informações sensíveis que devem ser acessíveis apenas a usuários autenticados
   • Protegida por middleware que verifica a presença do cookie auth-token
   • Normalmente, usuários não autenticados seriam redirecionados para a página inicial

3. Proteção do Middleware

   • O middleware verifica se o usuário possui um cookie auth-token
   • Se não estiver autenticado e tentar acessar rotas /protected/*, redireciona para a página inicial
   • Essa proteção pode ser contornada usando a vulnerabilidade

4. Demonstração da Vulnerabilidade

   • A aplicação mostra como o cabeçalho x-middleware-subrequest pode ser explorado
   • Isso permite que atacantes contornem a verificação de autenticação do middleware
   • Mesmo sem um cookie auth-token válido, atacantes podem acessar rotas protegidas

Como Explorar

Esta aplicação inclui uma rota protegida em /protected que normalmente requer autenticação. No entanto, usando o cabeçalho x-middleware-subrequest: middleware em uma requisição como curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected, você pode contornar a verificação de autenticação.

Você também pode reproduzir esse comportamento usando Burp Suite interceptando a requisição e adicionando manualmente o cabeçalho.

Para testar isso com Burp Suite, abra a aba Proxy e vá para a sub-aba Intercept. Certifique-se de que Intercept is On, então clique em Open Browser e navegue até a rota protegida: http://localhost:3000/protected

Burp Suite capturará a requisição para a rota protegida. A partir daí, adicione o seguinte cabeçalho: x-middleware-subrequest: middleware (destacado na captura de tela acima). Por fim, encaminhe a requisição e acesse a rota protegida.

Solução

Atualize para uma das seguintes versões corrigidas:

• Next.js 15.2.3 ou superior
• Next.js 14.2.25 ou superior
• Next.js 13.5.9 ou superior

Fontes

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927