PoC-CVE-2025-29927

o que é a vulnerabilidade?

• este cve relata uma falha no cabeçalho x-middleware-subrequest, responsável por receber requisições internas no next.js, que permite a um atacante contornar os middlewares de autorização no next.js 15.0.0 e acessar rotas protegidas, por exemplo

exemplo real

• em uma webapp, existe a rota /dashboard, que apenas usuários logados podem acessar, mas, se fizermos a requisição com o cabeçalho x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware, podemos acessar essa rota sem autenticação