Kiedy podatność przypomina backdoora – Next.js CVE-2025-29927 i obejście logiki middleware

Krytyczna podatność (CVSS3.1 na poziomie 9.1) we frameworku JS ściąganym niemal 10 milionów razy w tygodniu, która pozwala na obejście uwierzytelniania? Brzmi jak idealna piątkowa publikacja. Tak też się stało 21.03.2025, kiedy światło dzienne ujrzała podatność zgłoszona niemal miesiąc wcześniej przez dwóch badaczy – @zhero___ oraz @inzo___. Przyjrzeli się oni...

#WBiegu #Exploit #Js #Middleware #Podatność #Websec

https://sekurak.pl/kiedy-podatnosc-przypomina-backdoora-next-js-cve-2025-29927-i-obejscie-logiki-middleware/

Une faille critique dans Next.js permet de contourner les vérifications d'autorisation effectuées dans le middleware.

Framework React trés populaire pour le rendu web côté serveur.

Détails techniques

En injectant l'en-tête x-middleware-subrequest, un attaquant peut bypasser les contrôles d'accès et accéder à des ressources normalement protégées.

Exploit documenté ici

"Next.js and the corrupt middleware: the authorizing artifact"

https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware

Versions vulnérables

• 15.x < 15.2.3
  
• 14.x < 14.2.25
  
• 11.1.4 → 13.5.6

Solutions

Mettez à jour vers 15.2.3 ou 14.2.25


https://nextjs.org/blog/cve-2025-29927

https://github.com/advisories/GHSA-f82v-jwr5-mffw

En attendant : bloquez les requêtes contenant x-middleware-subrequest côté serveur / WAF

Et effectivement selon le moteur de recherche de surface d’attaque ONYPHE,

il y en a un paquet… y compris en Suisse

Ransomware gang creates tool to automate VPN brute-force attacks

The Black Basta ransomware operation created an automated brute-forcing framework dubbed 'BRUTED' to breach edge networking devices like firewalls and VPNs.

https://www.bleepingcomputer.com/news/security/black-basta-ransomware-creates-automated-tool-to-brute-force-vpns/

Dlaczego hackowanie aplikacji webowych jest proste? Bezpłatne szkolenie od sekuraka

Zapraszamy Cię na najnowszą edycję szkolenia: dlaczego hackowanie aplikacji webowych jest proste? Ponownie zaprezentujemy najciekawsze, najpoważniejsze czy najbardziej absurdalne podatności zlokalizowane w ostatnim ~roku. Na szkolenie możesz zapisać się bezpłatnie tutaj (w ramach zapisu dostępne jest też nagranie). Agenda: Szkolenie odbędzie się 18 marca 2025, online, start: 20:00 -> 21:30....

#WBiegu #Szkolenie #Websec

https://sekurak.pl/dlaczego-hackowanie-aplikacji-webowych-jest-proste-bezplatne-szkolenie-od-sekuraka/

Websecurity Master od sekuraka – rusza druga edycja topowego szkolenia z bezpieczeństwa aplikacji webowych. Sprawdź nas i zapisz się na bezpłatną sesję szkolenia!

Zanotujcie sobie tę datę w kalendarzu. 8 kwietnia br. ruszamy z drugą edycją Websecurity Master od sekuraka – najbardziej kompletnego kursu o bezpieczeństwie aplikacji webowych w Polsce! Pierwsza edycja z 2024 r. przyciągnęła ponad 200 osób i została oceniona przez uczestników na 4,9/5. Teraz wracamy z jeszcze lepszym kontentem: ataki,...

#Aktualności #Jarosiński #Kruczek #Lewczak #Rzepecki #Szkolenie #WebSecurityMaster #Websec

https://sekurak.pl/websecurity-master-od-sekuraka-rusza-druga-edycja-topowego-szkolenia-z-bezpieczenstwa-aplikacji-webowych-sprawdz-nas-i-zapisz-sie-na-bezplatna-sesje-szkolenia/

»HTTPS – Während ich Tor benutze, können Lauscher immer noch die Informationen sehen, die ich mit Webseiten teile, wie Login-Informationen und Dinge, die ich in Formulare eintippe?«

Das @torproject nicht unbedingt per-se sicher für die Privatsphäre ist, zeigt diese interaktieve Grafik im Link. Dies gilt mehr oder weniger auch für HTTPS im allgemeinen.

https://support.torproject.org/de/https/

Można było w GitLabie zmienić hasło dowolnemu użytkownikowi, znając tylko jego e-maila. Za zgłoszenie podatności wypłacono $35000

Jeden obraz warty jest w tym przypadku $35000. Oto ten „obraz”: Część z Was już zapewne widzi o co tutaj chodziło…: Podatność została załatana, a zgłaszający otrzymał $35000 w ramach wynagrodzenia bug bounty. PSJeśli chciałbyś nauczyć się szukać między innymi takich podatności (oraz unikać ich w swoich projektach), to zapraszamy...

#WBiegu #Gitlab #Hasło #Podatność #Websec

https://sekurak.pl/mozna-bylo-w-gitlabie-zmienic-haslo-dowolnemu-uzytkownikowi-znajac-tylko-jego-e-maila-za-zgloszenie-podatnosci-wyplacono-35000/

Czy możliwy jest atak SQL Injection w 2025 roku? Tak, poprzez parsowanie znaków w psql

Ostatnio głośno było o atakach na Departament Skarbu, które zostały przypisane chińskim grupom APT. Atakujący wykorzystywali podatności w produktach BeyondTrust Privileged Remote Access oraz Remote Support, które pozwalały na zdalne wykonanie poleceń. Podatności zostały sklasyfikowane jako CVE-2024-12356. TLDR: W czasie poszukiwań RCE, badacze z Rapid7 natknęli się na podatność SQL...

#WBiegu #BazyDanych #Postgresql #SQLInjection #Websec

https://sekurak.pl/czy-mozliwy-jest-atak-sql-injection-w-2025-roku-tak-poprzez-parsowanie-znakow-w-psql/

Fingerprinting: Critics say Google rules put profits over privacy

Changes which come in on Sunday permit so-called "fingerprinting", which allows online advertisers to collect more data about users including their IP addresses and information about their devices.

https://www.bbc.com/news/articles/cm21g0052dno

Nieoczywista podatność w interface administracyjnym urządzeń Palo Alto. Możliwość ominięcia uwierzytelnienia. CVE-2025-0108

Dla lubiących korzystać tylko z materiałów źródłowych polecam to opracowanie oraz informacje o łatce producenta. No dobra, o co tutaj chodzi? Urządzenie ma skonfigurowany Nginx na froncie (w szczególności podejmuje on decyzję, które żądanie uwierzytelnić, a które nie), oraz serwer webowy Apache w backendzie (tutaj działa aplikacja). Na starcie Nginx...

#WBiegu #Apache #Iot #Nginx #PaloAlto #PathConfusion #Websec

https://sekurak.pl/nieoczywista-podatnosc-w-interface-administracyjnym-urzadzen-palo-alto-mozliwosc-ominiecia-uwierzytelnienia-cve-2025-0108/

Prostym mykiem można było poznać e-maila dowolnego użytkownika YouTube.

Zerknijcie na ten research. Najpierw okazało się, że funkcja blokowania użytkownika zdradzała jego tzw. GaiaID (czyli taki globalny ID użytkownika w kontekście usług Google). Np.: 103261974221829892167 Ten IDek można było poznać nawet bez realnego zablokowania użytkownika. Teraz wystarczyło znaleźć jakąś usługę, która przetłumaczyłaby GaiaID na emaila użytkownika-ofiary. Badacze zlokalizowali stary,...

#WBiegu #BugBounty #Google #Mail #Recon #Websec #Youtube

https://sekurak.pl/prostym-mykiem-mozna-bylo-poznac-e-maila-dowolnego-uzytkownika-youtube/

"Secure by Design: Google's Blueprint for a High-Assurance Web Framework"

https://bughunters.google.com/blog/6644316274294784/secure-by-design-google-s-blueprint-for-a-high-assurance-web-framework

Mogli otwierać i śledzić auta Subaru w Japonii, Kanadzie i USA – wystarczyły numery tablic rejestracyjnych

O niektórych osiągnięciach Sama Curry’ego pisaliśmy niejednokrotnie. Tym razem Curry wspólnie z Shubham Shah zaprezentowali, jak mogli przejąć zdalną kontrolę nad dowolnym samochodem marki Subaru, wyposażonym w system STARLINK, na terenie Japonii, Kanady i Stanów Zjednoczonych.  TLDR: STARLINK to nazwa systemu, który pozwala zarządzać multimediami (np. uruchamiać aplikacje multimedialne, podłączyć...

#WBiegu #Curry #Infotainment #Subaru #Websec

https://sekurak.pl/mogli-otwierac-i-sledzic-auta-subaru-w-japonii-kanadzie-i-usa-wystarczyly-numery-tablic-rejestracyjnych/

Historia o tym jak badacze bezpieczeństwa mogli przejąć infrastrukturę rządową i nie tylko – cudzymi rękami

O tym, że profesjonaliści zajmujący się bezpieczeństwem powinni z należytą dbałością weryfikować wykorzystywane narzędzia pisaliśmy już nie raz. Ostatnio temat ten został przytoczony omawiając przypadek domeny linpeas.sh. Dzisiaj znów wyciągniemy wnioski z cudzych błędów, a laboratoryjnym przykładem nie będą pentesterzy, a czarne kapelusze (ang. black hat). Jednak morał płynący z...

#WBiegu #Backdoor #Watchtowr #Websec

https://sekurak.pl/historia-o-tym-jak-badacze-bezpieczenstwa-mogli-przejac-infrastrukture-rzadowa-i-nie-tylko-cudzymi-rekami/

Deadline Extended

By popular demand, the #MADWeb submission deadline is now January 14, 2025 (AoE)!

You still have 1 week to send your papers and join us in San Diego!

Submit here: https://madweb25.hotcrp.com
Details: https://madweb.work

Spread the word!

Security Scanner for Web Applications
Privacy-First Security Analysis Built by Developers, for Developers

Try it now: https://webscan.dev

any browser security people, are there any known ways for an iframe like this to explode in an unpleasant manner (beyond locking up the browser with an infinite loop i guess)

<iframe id="testframe"
    sandbox="allow-pointer-lock allow-orientation-lock allow-scripts"
    allow="accelerometer ambient-light-sensor autoplay fullscreen gamepad gyroscope magnetometer screen-wake-lock web-share"></iframe>

Help us make this year's edition of #MADWeb the best one yet!

Deadline: January 9, 2025 (AoE)
Submit here: https://madweb25.hotcrp.com
Website: https://madweb.work

@madwebwork