Verificador de Bypass de Middleware do Next.js | CVE-2025-29927

Ferramenta automatizada em Bash para detectar aplicações Next.js vulneráveis ao bypass de middleware CVE-2025-29927, de acordo com a pesquisa da Zhero Web Security.

Requisitos

• bash
• whatweb
• curl

Instale-os no Debian/Ubuntu com:

sudo apt install whatweb curl

---

Uso

Escanear uma única URL

./CVE-2025-29927.sh -u https://example.com

Escanear múltiplas URLs

Crie um arquivo urls.txt com uma URL por linha:

https://target1.com
https://target2.com

Execute:

./nextjs_bypass_checker_v2.sh -l urls.txt

---

O que o script faz

1. Identificação do Next.js

   • Usa whatweb para detectar a tecnologia.
   • Tenta ler /_next/static/BUILD_ID e _buildManifest.js.

2. Detecção de Middleware

   • Verifica se o servidor responde com cabeçalhos típicos do middleware do Next.js.
     • X-Middleware-Rewrite
     • X-Middleware-Set-Cookie

3. Teste de bypass

   • É feita uma solicitação sem x-middleware-subrequest e os cabeçalhos são detectados.
   • Em seguida, a solicitação é repetida usando os vetores conhecidos com o cabeçalho.
   • Se os cabeçalhos desaparecerem, o middleware foi bypassado com sucesso.

---

Saída esperada

[*] Analizando: https://victima.com
[+] WhatWeb:
    -> Detectado: Next.js[12.2.0]
[+] BUILD_ID: 3fjd92hf8
[+] Versión detectada: 12.2.0
[+] Middleware activo (cabeceras detectadas):
    X-Middleware-Rewrite: /not-found/locale=en
[+] Probando exploits:
    -> x-middleware-subrequest: middleware -> ✅ BYPASS EXITOSO (cabeceras desaparecieron)
    -> x-middleware-subrequest: src/middleware -> ❌ Middleware no evadido
[*] Finalizado: https://victima.com

---

Aviso Legal

Este script é para fins educacionais e de auditoria autorizada. Não o utilize contra alvos sem consentimento. O uso indevido pode constituir uma atividade ilegal.

---

Autor

• Roy Campos Vasquez — @RoyCampos

Baseado na pesquisa de: Zhero Web Security