Vulnerabilità Critica in Next.js - Middleware Bypass - CVE-2025-29927

Guarda su YouTube → 7:22 23 marzo 2025

Descrizione

Qualche giorno fa è stata pubblicata una vulnerabilità critica nell'ecosistema NextJS. La vulnerabilità permette di bypassare l'esecuzione di middlware utilizzando l'header x-middleware-subrequest. Questo diventa un problema di sicurezza nel momento in cui molti controlli di autenticazione e autorizzazione sono implementati proprio nel codice middleware. Se lavorate con Next.js, patchate il prima possibile alle versioni non vulnerabili, e se non riuscite a patchare state attenti a tutte quelle richieste che contengono l'header incriminato. Link di interesse: - Nist Advisory: https://nvd.nist.gov/vuln/detail/CVE-2025-29927 - GitHub Advisory: https://github.com/advisories/GHSA-f82v-jwr5-mffw - Blog post ricercatore: https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware

Commenti 7

I commenti vengono da YouTube e sono aggiornati periodicamente.

@RiccardoCosenza 23 marzo 2025

Tutto molto bello… 😢😂
@okcapo 23 marzo 2025 1

Grazie per il video, ti vorrei chiedere una cosa, per quale motivo quello specifico header con la concatenazione(numero randomico 5? o voluto?) ci permette di skippare il middleware? Mi piacerebbe capire cosa accada under the hood
2 risposte
1. @esadecimale Autore 23 marzo 2025 5
  
  Si questa scelta particolare deriva dagli internals di Next.js e da come viene utilizzato l’header. Nei prossimi giorni cerco di ritagliarmi dei momenti per analizzare il flusso, e sicuramente un video di root cause analysis sarebbe interessante ed educativa, quindi se riesco lo faccio
2. @okcapo 23 marzo 2025
  
  @ Ottimo, forza!
@playsuper5008 31 marzo 2025

È così pericoloso avere api esposte?
2 risposte
1. @esadecimale Autore 31 marzo 2025
  
  Dipende come viene controllata l’autenticazione e l’autorizzazione. Se il controllo avviene solamente nel middlware, si può essere facilmente attaccati. Se invece il controllo è nel controller finale della API, si rimane comunque protetti. In alcuni casi poi saltare il middlware potrebbe rompere la restante parte del codice, quindi si è protetti comunque, anche se in modo non ottimale
2. @playsuper5008 31 marzo 2025
  
  @esadecimale ah ok grazie mille! Volevo chiederti se ti stai prendendo magistrale o stai direttamente lavorando con triennale, se si come hai sviluppato le competenze in triennale essendo che non vanno molto nello specifico?