CVE-2025-29927: O Pesadelo do Middleware do Next.js

Este repositório é fornecido estritamente para fins educacionais. Eu não descobri esta vulnerabilidade - esta é uma demonstração e explicação de um problema de segurança divulgado publicamente. Usar este conhecimento para explorar sistemas vulneráveis sem autorização é ilegal e antiético.

Lá vamos nós de novo...

Se você está usando Next.js em seus aplicativos de produção, pare o que está fazendo e verifique seu número de versão. Existe uma vulnerabilidade séria no middleware que pode deixar todo o seu sistema de autenticação totalmente exposto.

Esta vulnerabilidade crítica foi divulgada e corrigida de forma responsável, então estou compartilhando esta demonstração educacional para ajudar desenvolvedores a entender o problema e proteger seus sistemas.

Qual é a vulnerabilidade?

• ID do CVE: CVE-2025-29927
• Severidade: Crítica (CVSS 9.1) - Não fica pior que isso, pessoal
• Divulgada: 21 de março de 2025
• Versões afetadas:
  • Next.js 15.x anteriores à 15.2.3
  • Next.js 14.x anteriores à 14.2.25
  • Next.js 11.1.4 até 13.5.6 (sim, são muitas versões!)

A análise técnica

O problema está em como o Next.js lida com o cabeçalho HTTP interno x-middleware-subrequest. Este cabeçalho foi projetado para prevenir recursão no middleware, mas atacantes podem manipulá-lo para contornar completamente a execução do middleware.

Pense no que isso significa - qualquer segurança baseada em middleware é potencialmente ineficaz:

• Verificações de autenticação? Ignoradas.
• Rotas exclusivas para administradores? Totalmente abertas.
• Rate limiting? Não funciona.
• Bloqueio de IP? Ineficaz.

Houve relatos desta vulnerabilidade sendo usada ativamente para acessar painéis administrativos, dados de usuários e até informações financeiras. Algumas organizações tiveram seus dados sensíveis expostos sem sequer saberem disso.

Prova de Conceito

Este repositório inclui:

• Um aplicativo Next.js vulnerável mostrando autenticação típica de middleware
• Um script de exploit educacional mostrando como o contorno funciona
• Múltiplas formas de corrigir seus sistemas

Corrija agora!

Melhor opção: Atualize o quanto antes

• Usando Next.js 15? → Atualize para 15.2.3+
• Está no Next.js 14? → Atualize para 14.2.25+
• Preso em versões mais antigas? → Use uma das soluções alternativas abaixo

Não pode atualizar imediatamente? Experimente estas:

Método Nginx:

# Strips the problematic header
proxy_set_header x-middleware-subrequest "";

Método Apache:

# Does the same thing for Apache users
RequestHeader unset x-middleware-subrequest

Abordagem Express.js:

// Quick middleware fix until you can properly update
app.use((req, res, next) => {
  delete req.headers['x-middleware-subrequest'];
  next();
});

Lições de segurança e recursos úteis

Esta vulnerabilidade reforça princípios importantes de segurança:

1. Mantenha-se em dia com as atualizações de segurança
2. Nunca confie em cabeçalhos vindos do cliente
3. Implemente defesa em profundidade - não dependa apenas do middleware

Confira estes recursos para construir aplicativos Next.js mais seguros:

• Melhores Práticas de Segurança do Next.js
• Guia de Testes de Segurança Web da OWASP
• Melhores Práticas de Segurança para Aplicações Web

Este repositório fornece uma explicação técnica e demonstração do CVE-2025-29927 apenas para fins educacionais. Todas as informações são baseadas em detalhes divulgados publicamente e que já foram devidamente corrigidos. Se você descobrir vulnerabilidades de segurança em qualquer software, siga sempre as práticas de divulgação responsável:

1. Reporte o problema diretamente ao fornecedor/mantenedor
2. Dê a eles um tempo razoável para resolver o problema
3. Não divulgue publicamente até que uma correção esteja disponível
4. Nunca explore vulnerabilidades em sistemas sem permissão explícita

Considerações finais

Esta vulnerabilidade demonstra como até frameworks bem projetados podem ter falhas críticas de segurança. Mantenham-se vigilantes por aí e tornem a atualização de dependências parte do seu fluxo de trabalho regular.

Sinta-se à vontade para entrar em contato com perguntas ou se precisar de ajuda para implementar qualquer uma dessas correções!