Mastodawn

📢 PCPcat : une campagne à grande échelle vole des identifiants sur des serveurs Next.js via CVE-2025-29927/66478 (59 128 compromis)
📝 Selon une publication de recherche...
📖 cyberveille : https://cyberveille.ch/posts/2025-12-21-pcpcat-une-campagne-a-grande-echelle-vole-des-identifiants-sur-des-serveurs-next-js-via-cve-2025-29927-66478-59-128-compromis/
🌐 source : https://beelzebub.ai/blog/threat-huntinga-analysis-of-a-nextjs-exploit-campaign/
#CVE_2025_29927 #IOC #Cyberveille

PCPcat : une campagne à grande échelle vole des identifiants sur des serveurs Next.js via CVE-2025-29927/66478 (59 128 compromis)

Selon une publication de recherche de Mario Candela, une campagne baptisée « PCPcat » cible des déploiements Next.js/React en exploitant les vulnérabilités CVE-2025-29927 et CVE-2025-66478 pour obtenir une exécution de code à distance, voler des identifiants et installer une infrastructure C2 persistante. Résumé opérationnel ️: la campagne combine scans massifs, exploitation RCE Next.js, exfiltration d’identifiants (.env, clés SSH, AWS, Docker, Git, historiques bash, etc.) et déploiement de proxies/tunnels (GOST, FRP) via un installeur (proxy.sh). Un accès non authentifié à l’API C2 a exposé des métriques en temps réel : 59 128 serveurs compromis sur 91 505 IPs scannées (succès 64,6 %) et des lots de 2 000 cibles par requête.

CyberVeille

The Threat Codex Mar 24, 2025

Next.js and the corrupt middleware: the authorizing artifact
#CVE_2025_29927
https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware

Next.js and the corrupt middleware: the authorizing artifact

CVE-2025-29927

zhero_web_security

Konstantin

Mar 23, 2025

With #CVE_2025_29927, Next.js has now suffered its second major vulnerability in just three months, following #CVE_2024_51479.

I originally built CVE Crowd with #NextJS.

However, as the application became more complex (especially with authentication), I decided to switch to a framework I was more familiar with.

Honestly, I’m feeling a bit relieved about that right now...

#Pentesting #AppSec #InfoSec #CyberSecurity #BugBounty #Hacking #CVE #CVECrowd

Qiita - 人気の記事 Mar 23, 2025

Next.jsのMiddlewareで認証している方はすぐに確認を！認可バイパス脆弱性（CVE-2025-29927）の解説と対策
https://qiita.com/suin/items/b71c8b5ae0ef63d04479?utm_campaign=popular_items&utm_medium=feed&utm_source=popular_items

#qiita #Next_js #CVE_2025_29927

Next.jsのMiddlewareで認証している方はすぐに確認を！認可バイパス脆弱性（CVE-2025-29927）の解説と対策 - Qiita

Next.jsのCVE-2025-29927という脆弱性情報はもうご存じでしょうか？ Next.jsのMiddleware(ミドルウェア)で行っている認証・認可チェックを攻撃者にすり抜けられてしまう…

Qiita

decio Mar 23, 2025

⚠️ Une faille critique dans Next.js permet de contourner les vérifications d'autorisation effectuées dans le middleware.

👉 Framework React trés populaire pour le rendu web côté serveur.

🔍 Détails techniques

En injectant l'en-tête x-middleware-subrequest, un attaquant peut bypasser les contrôles d'accès et accéder à des ressources normalement protégées.

💥 Exploit documenté ici
⬇️
"Next.js and the corrupt middleware: the authorizing artifact"
👇
https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware

🛡️ Versions vulnérables

15.x < 15.2.3
14.x < 14.2.25
11.1.4 → 13.5.6

🔧 Solutions

✔️ Mettez à jour vers 15.2.3 ou 14.2.25

👇
https://nextjs.org/blog/cve-2025-29927
⬇️
https://github.com/advisories/GHSA-f82v-jwr5-mffw

✔️ En attendant : bloquez les requêtes contenant x-middleware-subrequest côté serveur / WAF

🛰️ Et effectivement selon le moteur de recherche de surface d’attaque ONYPHE,

il y en a un paquet… y compris en Suisse 🇨🇭

#CyberVeille #NextJS #CVE_2025_29927 #websec #infosec #onyphe #ASD

Next.js and the corrupt middleware: the authorizing artifact

CVE-2025-29927

zhero_web_security

RedPacket Security Mar 22, 2025

CVE Alert: CVE-2025-29927 - https://www.redpacketsecurity.com/cve_alert_cve-2025-29927/

#OSINT #ThreatIntel #CyberSecurity #cve_2025_29927

CVE Alert: CVE-2025-29927 - RedPacket Security

Next.js is a React framework for building full-stack web applications. Prior to 14.2.25 and 15.2.3, it is possible to bypass authorization checks within a

RedPacket Security