Next.js CVE-2025-29927

Этот репозиторий содержит доказательство концепции уязвимости CVE-2025-29927 в Next.js, где внутренний заголовок x-middleware-subrequest может быть использован для обхода проверок промежуточного ПО, таких как аутентификация.

Затронутые версии

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Установка

🧪 Этот проект был протестирован с Next.js v13.4.19.

1. Клонируйте репозиторий:

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. Установите зависимости:

npm install

Запуск приложения

1. Запустите сервер разработки:

npm run dev

2. Откройте приложение в браузере:

http://localhost:3000

Как работает веб-сайт

Приложение демонстрирует простую систему аутентификации с защищённым маршрутом, который можно обойти с помощью уязвимости CVE-2025-29927. Вот как это работает:

1. Главная страница (/)

   • Отображает приветственное сообщение и кнопку входа
   • При нажатии кнопка входа устанавливает поддельный cookie аутентификации (auth-token)
   • После «входа» пользователи перенаправляются на защищённую страницу

2. Защищённая страница (/protected)

   • Содержит конфиденциальную информацию, доступную только аутентифицированным пользователям
   • Защищена промежуточным ПО, которое проверяет наличие cookie auth-token
   • Обычно неаутентифицированные пользователи перенаправляются на главную страницу

3. Защита промежуточного ПО

   • Промежуточное ПО проверяет, есть ли у пользователя cookie auth-token
   • Если пользователь не аутентифицирован и пытается получить доступ к маршрутам /protected/*, происходит перенаправление на главную страницу
   • Эту защиту можно обойти с помощью уязвимости

4. Демонстрация уязвимости

   • Приложение показывает, как можно использовать заголовок x-middleware-subrequest
   • Это позволяет злоумышленникам обойти проверку аутентификации промежуточного ПО
   • Даже без действительного cookie auth-token злоумышленники могут получить доступ к защищённым маршрутам

Как эксплуатировать

Это приложение включает защищённый маршрут /protected, который обычно требует аутентификации. Однако, используя заголовок x-middleware-subrequest: middleware в запросе, например curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected, можно обойти проверку аутентификации.

Вы также можете воспроизвести это поведение с помощью Burp Suite, перехватив запрос и вручную добавив заголовок.

Чтобы попробовать это в Burp Suite, откройте вкладку Proxy и перейдите на подвкладку Intercept. Убедитесь, что Intercept is On, затем нажмите Open Browser и перейдите по защищённому маршруту: http://localhost:3000/protected

Burp Suite перехватит запрос к защищённому маршруту. Затем добавьте следующий заголовок: x-middleware-subrequest: middleware (выделено на скриншоте выше). Наконец, перешлите запрос и получите доступ к защищённому маршруту.

Решение

Обновитесь до одной из следующих исправленных версий:

• Next.js 15.2.3 или выше
• Next.js 14.2.25 или выше
• Next.js 13.5.9 или выше

Источники

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927