jeymo092/cve-2025-29927Prova de conceito de exploit para CVE-2025-29927, uma vulnerabilidade de bypass de middleware no Next.js. Inclui payloads específicos por versão e um laboratório baseado em Docker para testar acesso não autorizado a rotas protegidas.
Todas as versões do Next.js de 11.1.4 até 13.5.6, 14.x anteriores a 14.2.25 e 15.x anteriores a 15.2.3 são afetadas por esta vulnerabilidade. O impacto é particularmente significativo para aplicações que dependem de middleware para implementar controles de acesso, uma vez que os atacantes podem obter acesso não autorizado a recursos protegidos sem autenticação.
A vulnerabilidade no CVE-2025-29927 decorre de uma falha de design na forma como o Next.js processa o cabeçalho x-middleware-subrequest. Este cabeçalho foi originalmente concebido para uso interno do framework Next.js, a fim de evitar loops infinitos de execução de middleware.
Quando uma aplicação Next.js utiliza middleware, a função runMiddleware é chamada para processar as requisições recebidas. Como parte da sua funcionalidade, esta função verifica a presença do cabeçalho x-middleware-subrequest. Se este cabeçalho existir e contiver um valor específico, a execução do middleware é totalmente ignorada e a requisição é encaminhada diretamente para o seu destino original através de .
NextResponse.next()A vulnerabilidade reside no fato de esta verificação do cabeçalho poder ser explorada por usuários externos. Ao adicionar o cabeçalho x-middleware-subrequest com o valor correto a uma requisição, um atacante pode contornar completamente qualquer mecanismo de proteção baseado em middleware.
Clone o repositório:
git clone <repository_url>
Navegue até o diretório do projeto:
cd nextjs-docker-app
Construa a imagem Docker:
docker build -t nextjs-app .
Execute o contêiner Docker:
docker run -p 3000:3000 nextjs-app
Acesse a aplicação no seu navegador em http://localhost:3000.
O método de exploração varia ligeiramente dependendo da versão do Next.js:
Nessas versões, os arquivos de middleware tinham de ser nomeados _middleware.ts e colocados dentro da pasta pages. O valor de middlewareInfo.name era composto pelo nome do diretório e pelo nome do arquivo:
x-middleware-subrequest: pages/_middleware
Para rotas aninhadas, pode haver vários arquivos de middleware em diferentes níveis, resultando em vários valores possíveis para o cabeçalho:
x-middleware-subrequest: pages/dashboard/_middleware
ou
x-middleware-subrequest: pages/dashboard/panel/_middleware
A partir da versão 12.2, o Next.js mudou as convenções de middleware. O arquivo deve ser nomeado middleware.ts (sem o underscore) e não deve mais estar localizado na pasta pages. Para essas versões, o payload é mais simples:
x-middleware-subrequest: middleware
Além disso, o Next.js permite uma estrutura de projeto alternativa com um diretório /src. Nesses casos, o payload seria:
x-middleware-subrequest: src/middleware
Para versões 13.2.0 e superiores, o Next.js introduziu uma profundidade máxima de recursão para a execução de middleware. Isso foi implementado para evitar loops infinitos, mas não afeta a vulnerabilidade. A exploração continua a mesma, pois a verificação do cabeçalho ocorre antes de qualquer verificação de profundidade de recursão.
x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware
Alternativamente, para projetos que utilizam uma estrutura de diretório /src:
x-middleware-subrequest: src/middleware:src/middleware:src/middleware:sr
=======
# cve-2025-29927
>>>>>>> 56c7b2dcd548caf771750519107bf7c57749a864