CVE-2025-29927: Уязвимость обхода Middleware в Next.js

Этот репозиторий демонстрирует уязвимость CVE-2025-29927 в Next.js, где внутренний заголовок x-middleware-subrequest может использоваться для обхода проверок middleware, таких как аутентификация.

Детали уязвимости

Next.js использует внутренний заголовок x-middleware-subrequest для предотвращения рекурсивных запросов, вызывающих бесконечные циклы. Данная уязвимость показывает, что можно пропустить выполнение Middleware, что позволяет запросам обходить критические проверки — такие как проверка авторизационных cookie — до достижения маршрутов.

Затронутые версии

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

Область воздействия

Затронутые

• Самостоятельно размещённые приложения Next.js, использующие Middleware (next start с output: standalone)
• Приложения, которые полагаются на Middleware для проверок аутентификации или безопасности и не выполняют повторную проверку далее в приложении

Не затронуты

• Приложения, размещённые на Vercel
• Приложения, размещённые на Netlify
• Приложения, развёрнутые как статические экспорты (Middleware не выполняется)

Шаги воспроизведения

1. Клонируйте этот репозиторий
2. Установите зависимости: npm install
3. Соберите приложение: npm run build
4. Запустите приложение в production-режиме: node .next/standalone/server.js
5. Проверьте уязвимость: node exploit-test.js

Как работает эксплойт

Эксплойт добавляет заголовок x-middleware-subrequest: middleware, чтобы обойти проверки аутентификации middleware в Next.js.

Middleware в этом демо-приложении перенаправляет неаутентифицированных пользователей с защищённых маршрутов, но с использованием заголовка эксплойта эту проверку можно обойти.

Исправление

Обновитесь до одной из следующих исправленных версий:

• Next.js 15.2.3 или выше
• Next.js 14.2.25 или выше
• Next.js 13.5.9 или выше

Источник

• https://nextjs.org/blog/cve-2025-29927