Next.js CVE-2025-29927

此仓库包含关于 Next.js 中 CVE-2025-29927 漏洞的概念验证，其中内部标头 x-middleware-subrequest 可被利用来绕过中间件检查（如身份验证）。

受影响版本

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

安装

🧪 本项目已在 Next.js v13.4.19 上测试。

1. 克隆仓库：

git clone https://github.com/goncalocsousa1/CVE-2025-29927.git
cd CVE-2025-29927

2. 安装依赖：

npm install

运行应用程序

1. 启动开发服务器：

npm run dev

2. 在浏览器中访问应用程序：

http://localhost:3000

网站工作原理

该应用演示了一个简单的身份验证系统，其中包含一个受保护的路由，可以利用 CVE-2025-29927 漏洞绕过。其工作原理如下：

1. 主页（/）

   • 显示欢迎消息和一个登录按钮
   • 单击时，登录按钮设置一个伪造的身份验证 cookie（auth-token）
   • “登录”后，用户会被重定向到受保护的页面

2. 受保护页面（/protected）

   • 包含仅应被身份验证用户访问的敏感信息
   • 由检查 auth-token cookie 是否存在的中间件保护
   • 通常，未经身份验证的用户会被重定向到主页

3. 中间件保护

   • 中间件检查用户是否拥有 auth-token cookie
   • 如果未经验证且试图访问 /protected/* 路由，则重定向到主页
   • 此保护可以通过该漏洞绕过

4. 漏洞演示

   • 该应用展示了如何利用 x-middleware-subrequest 标头
   • 这允许攻击者绕过中间件身份验证检查
   • 即使没有有效的 auth-token cookie，攻击者也可以访问受保护的路由

如何利用

该应用包含一个位于 /protected 的受保护路由，通常需要身份验证。然而，通过在请求中使用标头 x-middleware-subrequest: middleware，例如 curl -H "x-middleware-subrequest: middleware" http://localhost:3000/protected，你可以绕过身份验证检查。

你也可以使用 Burp Suite 通过拦截请求并手动添加标头来重现此行为。

要使用 Burp Suite 尝试此操作，请打开 Proxy 选项卡并进入 Intercept 子选项卡。确保 Intercept is On，然后单击 Open Browser 并导航到受保护路由：http://localhost:3000/protected

Burp Suite 将捕获对受保护路由的请求。在那里，添加以下标头：x-middleware-subrequest: middleware（在上面的截图中突出显示）。最后，转发请求并访问受保护的路由。

解决方案

更新至以下已修补版本之一：

• Next.js 15.2.3 或更高版本
• Next.js 14.2.25 或更高版本
• Next.js 13.5.9 或更高版本

来源

• https://vercel.com/blog/postmortem-on-next-js-middleware-bypass
• https://nvd.nist.gov/vuln/detail/CVE-2025-29927