Test d'intrusion Next.js : Middleware-Bypass, Server Actions et sécurité ISR

Next.js est le framework React full-stack le plus utilisé au monde et constitue la base de nombreuses applications web critiques en production. L'introduction de l'App Router, des Server Components et des Server Actions a créé de nouvelles surfaces d'attaque fondamentalement différentes des modèles de sécurité classiques des SPA. CVE-2024-43481 (CVSS 9.1) a démontré qu'une seule faille dans le middleware pouvait contourner l'intégralité du contrôle d'accès d'une application Next.js. Matproof examine votre application Next.js pour toutes les vulnérabilités connues et émergentes propres à cette architecture.

Pourquoi les applications Next.js nécessitent des tests de sécurité spécialisés

Next.js réunit dans un seul framework le rendu côté client, le Server-Side Rendering (SSR), la Static Site Generation (SSG) et l'Incremental Static Regeneration (ISR) — chaque stratégie de rendu introduit ses propres implications de sécurité. Les Server Components et les Server Actions, introduits avec Next.js 13 et l'App Router, déplacent la logique vers le serveur sans que les développeurs n'en mesurent toujours pleinement les conséquences en matière de sécurité. Le middleware s'exécute dans l'Edge Runtime et contrôle le routage et les vérifications d'authentification pour l'ensemble de l'application — une erreur à ce niveau compromet toutes les routes en aval. Le modèle de sécurité de Next.js est complexe, bien documenté mais fréquemment mal implémenté en pratique. CVE-2024-43481, CVE-2024-46982 et CVE-2024-34351 prouvent que même les versions récentes de Next.js contenaient des failles critiques permettant à des attaquants de contourner intégralement l'autorisation ou d'effectuer des requêtes côté serveur falsifiées.

• CVE-2024-43481 (CVSS 9.1, contournement du middleware Next.js) : dans les versions de Next.js antérieures à 14.2.25 et 15.x antérieures à 15.2.3, un attaquant pouvait manipuler l'en-tête x-middleware-subrequest pour ignorer entièrement la chaîne de traitement du middleware, contournant ainsi toutes les vérifications d'authentification et d'autorisation. Cette vulnérabilité concerne toutes les applications utilisant le middleware pour le contrôle d'accès — l'un des schémas les plus courants dans les systèmes Next.js en production.
• CVE-2024-46982 (cache poisoning dans Next.js ISR) : via des en-têtes HTTP manipulés, un attaquant pouvait empoisonner les pages ISR mises en cache avec un contenu malveillant, ensuite distribué à tous les utilisateurs. Les versions de Next.js antérieures à 14.2.10 dans le Pages Router étaient affectées. Les attaques de cache poisoning sur ISR sont particulièrement insidieuses car le cache empoisonné peut persister longtemps.
• CVE-2024-34351 (SSRF via l'en-tête Host dans les Server Actions) : les versions Next.js 13.4 à 14.x transmettaient les requêtes Server Action basées sur l'en-tête Host sans validation suffisante. Les attaquants pouvaient ainsi cibler des services internes via le serveur Next.js (Server-Side Request Forgery), permettant dans les environnements cloud d'accéder aux endpoints de métadonnées (AWS IMDSv1, Azure IMDS).
• Server Actions comme nouveau vecteur d'attaque : les Server Actions dans Next.js 13+ sont des fonctions côté serveur appelées directement depuis les composants client. Sans vérifications d'autorisation explicites dans chaque action, elles sont accessibles par des requêtes arbitraires non authentifiées — une erreur d'implémentation fréquente menant à une escalade de privilèges ou des fuites de données.
• React Server Components et fuites de données : la sérialisation RSC transmet l'état serveur au client. Si des données sensibles (résultats de base de données, clés API, configuration interne) ne sont pas explicitement filtrées, elles se retrouvent dans le bundle client ou dans les réponses réseau — souvent invisibles dans la vue normale de l'application, mais visibles dans le trafic réseau.
• Rewrites et redirects Next.js mal configurés comme source d'Open Redirect : les rewrites dans next.config.js peuvent, lorsqu'ils sont mal configurés, ouvrir des chemins d'attaque Open Redirect ou SSRF si des URL externes sont configurées comme destinations de rewrite.
• Risques de la chaîne d'approvisionnement dans l'écosystème Next.js : les projets Next.js utilisent typiquement des dizaines de dépendances npm ; les attaques connues sur la chaîne d'approvisionnement (ex. event-stream 2018, ua-parser-js 2021) démontrent le risque de dépendances transitives compromises en environnement de production.

Ce qui est examiné lors d'un test d'intrusion Next.js

• Sécurité du middleware et logique d'autorisation : analyse complète de la configuration middleware.ts sur la manipulation d'en-têtes, les schémas de contournement (cf. CVE-2024-43481), la configuration incorrecte des matchers et les conditions de concurrence dans l'exécution Edge Runtime.
• Autorisation et validation des entrées dans les Server Actions : chaque Server Action exportée est examinée pour les vérifications d'authentification manquantes, la protection CSRF (vérification d'origine native Next.js vs implémentations personnalisées), les accès excessifs à la base de données et les vulnérabilités d'injection.
• Cache poisoning ISR et gestion des clés de cache : test de la possibilité d'empoisonner les pages mises en cache via des requêtes manipulées ; analyse de la configuration des clés de cache sur les variations par en-têtes, cookies ou paramètres de requête.
• SSRF via l'en-tête Host et logique de redirection : tests systématiques pour déterminer si les redirections côté serveur, les proxies API ou les règles de rewrite peuvent être dirigés vers l'infrastructure interne via des en-têtes Host ou des paramètres de chemin manipulés (cf. CVE-2024-34351).
• Analyse des fuites de données dans les React Server Components : examen de la payload RSC pour les données sensibles contenues, les ID internes, les résultats de base de données non filtrés ou les valeurs de configuration ; analyse de la payload __NEXT_DATA__ pour les secrets exposés.
• Sécurité des routes API selon l'OWASP API Top 10 (2023) : authentification, rate-limiting, validation des entrées, mass-assignment dans tous les handlers route.ts ; test sur BOLA (Broken Object Level Authorization) pour les endpoints spécifiques aux ressources.
• Configuration Next.js et en-têtes de sécurité : audit de next.config.js pour les configurations d'en-têtes non sécurisées, l'absence de Content Security Policy, la suppression X-Powered-By désactivée, la configuration CORS non sécurisée.
• Audit des dépendances et analyse de la chaîne d'approvisionnement : scan de toutes les dépendances npm (y compris transitives) contre la base de données NVD/OSV ; identification des paquets critiques avec des CVE connus dans la version utilisée.
• Intégration de l'authentification (NextAuth.js / Auth.js) : audit de configuration pour les callbacks OAuth, les secrets JWT, la gestion des sessions, la validation des tokens CSRF et les flags de cookies sécurisés.
• Différences de sécurité Edge Runtime vs Node.js Runtime : analyse pour déterminer si la logique critique de sécurité est correctement placée dans l'environnement d'exécution correspondant et si les limitations de l'Edge Runtime entraînent des dégradations de sécurité.

Exemple de finding

Pentest Next.js : comparaison des options

Offres de pentest Next.js

Questions fréquentes sur le test d'intrusion Next.js

Sujets connexes

• Test d'intrusion Laravel
• Test d'intrusion Node.js
• Tous les pentests

Approfondir — articles de blog associés

• AI Penetration Testing Guide
• Automated vs Manual Penetration Testing
• Vulnerability Management Guide

Démarrez votre test d'intrusion Next.js maintenant

Déterminez en quelques minutes si votre application Next.js est exposée au contournement de middleware, aux vulnérabilités des Server Actions ou au cache poisoning ISR. Rapport audit-ready en français, aucune installation requise.