pouriam23/next.js-middleware-bypass-cve-2025-29927-CTF-задача для изучения и практики эксплуатации уязвимости обхода промежуточного ПО Next.js (CVE-2025-29927) путем поиска флага на странице администратора.
после прочтения статьи @zhero___ в его личном блоге я решил создать этот CTF, чтобы разобраться, как всё работает, а затем решил поделиться им со всеми, кто хочет научиться эксплуатировать эту уязвимость. Большое спасибо zhero и inzo_, их статью можно найти здесь: "https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware"
вы должны обойти middleware и найти флаг на странице администратора; также вы можете прочитать замечательное исследование Assetnote: "https://www.assetnote.io/resources/research/doing-the-due-diligence-analyzing-the-next-js-middleware-bypass-cve-2025-29927", которое поможет вам обойти его быстрее
git clone https://github.com/pouriam23/Next.js-Middleware-Bypass-CVE-2025-29927-.git
cd Next.js-Middleware-Bypass-CVE-2025-29927-
npm install
# or
yarn install
.env в корневом каталоге и добавьте следующее:DATABASE_URL="your-database-url"
JWT_SECRET="your-jwt-secret"
npx prisma generate
npx prisma db push
Режим разработки:
npm run dev
# or
yarn dev