CVE-2025-29927：Next.js 中间件利用工具

该工具演示并自动化利用 CVE-2025-29927，这是一个存在于 Next.js 中的漏洞，攻击者可利用内部请求头 x-middleware-subrequest 绕过中间件检查（如身份验证）。

🔧 漏洞利用原理

Next.js 内部使用 x-middleware-subrequest 请求头来防止递归请求中的无限循环。然而，在某些版本中，该请求头并未针对外部篡改进行保护，恶意攻击者可以对其进行伪造。

通过手动设置该请求头，负责执行身份验证、重定向、日志记录或过滤的中间件逻辑将被完全跳过。

该工具的功能：

• 发送基线请求（不带请求头）
• 遍历多个 x-middleware-subrequest 载荷
• 比较响应正文内容
• 检测并报告：
  • ✅ 已确认绕过：状态码 403 变为 200
  • ⚠️ 响应差异：状态码不变，但内容不同（部分绕过或意外行为）
• 将结果保存到清晰的输出文件中，以便进一步分析

🔖 受影响版本

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

受影响的目标：

• 使用中间件的自托管 Next.js 应用（例如，使用 next start 且输出为 standalone）
• 使用中间件进行身份验证或安全强制，且未在运行时重新验证的应用

不受影响：

• 托管在 Vercel 或 Netlify 上的应用
• 静态导出（next export）

👁️ 利用演示

中间件绕过示例：

正常请求：
  GET /admin --> 403 Forbidden

带请求头的请求：
  GET /admin --> 200 OK
  x-middleware-subrequest: middleware 

即使目标通过中间件检查身份验证，该漏洞也能完全绕过它。

⚙️ 安装与使用

🔥 克隆仓库

git clone https://github.com/0x0Luk/0xMiddleware.git
cd 0xMiddleware

📂 输入

创建一个名为 urls.txt 的文件，每行一个 URL：

https://target.com/admin
https://target.com/_next/static/asset.js

🚀 运行工具

python3 0xMiddleware.py urls.txt

⚙️ 工具行为

• 向每个 URL 发送带和不带利用请求头的请求

• 使用多种载荷变体：

  • middleware
  • pages/_middleware
  • src/middleware
  • （以及更多）

• 记录：

  • ✅ middleware_exploited.txt：真正的绕过（403 → 200）
  • ⚠️ middleware_response_diff.txt：响应内容不同

🚨 修复 / 缓解措施

立即将 Next.js 升级到安全版本：

• 15.2.3+
• 14.2.25+
• 13.5.9+

此外：

• 确保中间件验证在服务器端重新检查（例如通过 getServerSideProps、JWT、会话）
• 清理或拒绝外部使用内部请求头

✨ 输出示例

[✔] Bypass successful: https://target.com/admin (payload: middleware)
[•] Response difference detected: https://target.com/login (payload: src/middleware)

[✔] Found 3 bypasses > middleware_exploited.txt
[•] Found 5 response diffs > middleware_response_diff.txt

🔗 参考

• ✨ CVE：https://nextjs.org/blog/cve-2025-29927