CVE-2025-29927-PoC-Exploit

Доказательство концепции обхода авторизации в Next.js Middleware

Вы можете запустить его против уязвимой версии здесь: https://github.com/lirantal/vulnerable-nextjs-14-CVE-2025-29927

Запуск

Выполнение довольно простое.

1. Python3 CVE-2025-29927-PoC-Exploit.py

Скрипт предложит вам ввести доменное имя. (У вас есть два варианта: первый — ввести только доменное имя, второй — доменное имя с путём)

Если вы введёте его в таком виде, например "domain.com", он попытается перебрать защищённые авторизацией пути и проверит их, когда найдёт путь с кодом состояния 200.

В качестве альтернативы вы можете самостоятельно указать защищённую авторизацией страницу, например "domain.com/admin/clients"

В этом случае будет показан только результат для этого эндпоинта.

Результаты отображаются в формате JSON.