Introdução

Ao forjar o cabeçalho de requisição x-middleware-subrequest, é possível contornar o mecanismo de autenticação de middleware do Next.js, permitindo acesso não autorizado a rotas protegidas.

Configuração do ambiente

O código-fonte do projeto é do P神; a versão do Next.js é 15.2.2 (Para Next.js 15.x, este problema foi corrigido na versão 15.2.3).

Ambiente de vulnerabilidade

Certifique-se de que Node e npm estejam instalados. Verifique as versões com os seguintes comandos:

node -v
npm -v

Instale as dependências e inicie o projeto

# 1. 进入项目目录
cd vulenv

# 2. 全局安装 Yarn（如果尚未安装）
npm install -g yarn

# 3. 安装项目依赖
yarn install

# 4. 启动开发服务器
npm run dev

Ou, tudo de uma vez:

cd vulenv && npm install -g yarn && yarn install && npm run dev

Sucesso conforme abaixo:

alt text

Ambiente de depuração

Configure a depuração do VSCode da seguinte forma:

{
    "version": "0.2.0",
    "configurations": [
      {
        "name": "Next.js: debug server-side",
        "type": "node-terminal",
        "request": "launch",
        "command": "npm run dev"
      },
      {
        "name": "Next.js: debug client-side",
        "type": "chrome",
        "request": "launch",
        "url": "http://localhost:3000"
      },
      {
        "name": "Next.js: debug full stack",
        "type": "node-terminal",
        "request": "launch",
        "command": "npm run dev",
        "serverReadyAction": {
          "pattern": "- Local:.+(https?://.+)",
          "uriFormat": "%s",
          "action": "debugWithChrome"
        }
      }
    ]
  }

Análise

O ponto de acionamento da vulnerabilidade é o seguinte

const run = withTaggedErrors(async function runWithTaggedErrors(params) {
    var _params_request_body;
    const runtime = await getRuntimeContext(params);
    const subreq = params.request.headers[`x-middleware-subrequest`];
    const subrequests = typeof subreq === 'string' ? subreq.split(':') : [];
    const MAX_RECURSION_DEPTH = 5;
    const depth = subrequests.reduce((acc, curr)=>curr === params.name ? acc + 1 : acc, 0);
    if (depth >= MAX_RECURSION_DEPTH) {
        return {
            waitUntil: Promise.resolve(),
            response: new runtime.context.Response(null, {
                headers: {
                    'x-middleware-next': '1'
                }
            })
        };
    }
    ......

Uma função de middleware cujo objetivo é detectar a profundidade de chamadas recursivas, evitando loops infinitos. Seu mecanismo depende do cabeçalho de requisição x-middleware-subrequest, que é dividido pelo caractere : em vários nomes de sub-requisições, contando quantas vezes o nome coincide com o do middleware atual (params.name), ou seja, o nível de recursão. Quando o nível de recursão atinge ou excede o limite definido (padrão MAX_RECURSION_DEPTH = 5), o middleware pula a lógica principal — como a verificação de identidade — e dá continuidade ao fluxo de processamento da requisição.

Dica: para evitar chamadas recursivas infinitas, o funcionamento é basicamente o seguinte:

用户访问 /dashboard
↓
middleware 拦截，请求 /api/auth
↓
/api/auth 再次触发 middleware
↓
middleware 又请求 /api/auth
↓
...
死循环！🌀

A ideia de exploração é a seguinte

O nome do middleware é middleware, e podemos construir o seguinte cabeçalho de requisição:

x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

A construção acima faz com que depth seja igual a 5, acionando diretamente:

if (depth >= MAX_RECURSION_DEPTH)

Se a aplicação colocar a lógica de verificação de identidade no middleware, isso faz com que o middleware saia da lógica de autenticação e retorne:

x-middleware-next: 1

Fazendo a requisição continuar para o backend, obtendo recursos protegidos sem autenticação.

Exploração

Coloque um ponto de interrupção na posição da figura abaixo (caminho completo: CVE-2025-29927/vulenv/node_modules/next/dist/server/web/sandbox/sandbox.js) e inicie a depuração.

alt text