Sécurité Next.js : les failles des applications générées par l’IA
Next.js est le framework le plus généré par les outils d’IA, de v0 à Claude Code. Il mélange code serveur et code client dans le même projet : la frontière entre ce qui reste sur le serveur et ce qui part dans le navigateur est facile à franchir par erreur.
Citadel connaît les pièges propres à Next.js : variables publiques, actions serveur, configuration des images, versions vulnérables du framework.
Dix analyses offertes chaque mois, sans carte bancaire. Premier rapport en quelques minutes.
Analyser mon application gratuitementLes failles les plus fréquentes
Contournement du middleware (CVE-2025-29927)
Sur les versions touchées, un simple en-tête permet d’ignorer le middleware qui protège vos pages.
Secrets dans NEXT_PUBLIC_
Copiés dans le JavaScript public, donc lisibles par tous.
Source maps en production
Votre code source complet, commentaires compris, devient téléchargeable.
remotePatterns ouvert à tous
L’optimiseur d’images peut être détourné pour faire des requêtes vers n’importe quel serveur.
Ce que Citadel vérifie (15 contrôles actifs)
Analyse du code, des dépendances et des secrets selon OWASP et CWE. Chaque faille arrive avec son explication et le prompt de correction à coller dans votre assistant.
- Version de Next.js vulnérable au contournement du middleware (CVE-2025-29927) A06 · CVE
- Secret exposé dans une variable NEXT_PUBLIC_ CWE-200 · A02
- dangerouslySetInnerHTML alimenté par une donnée externe CWE-79 · A03
- Redirection construite à partir des paramètres de l’URL CWE-601 · A01
- images.remotePatterns ouvert à tous les domaines CWE-918 · A10
- Source maps publiées en production CWE-540 · A05
- child_process.exec ou spawn avec une entrée utilisateur CWE-78 · A03
- eval, new Function ou vm sur des données externes CWE-95 · A03
- Chemin de fichier construit depuis la requête (path traversal) CWE-22 · A01
- JWT vérifié sans liste d’algorithmes ou avec un secret faible CWE-347 · API2
- Cookies de session sans HttpOnly, Secure ou SameSite CWE-1004 · CWE-614
- CORS : origine * combinée aux cookies d’authentification CWE-942 · A05
- Secrets dans le code et les fichiers de configuration (plus de 100 types de clés) CWE-798 · A07
- Dépendances npm et Composer avec CVE ou avis GHSA publiés A06 · CVSS
- Mots de passe hachés en MD5, SHA-1 ou sans sel CWE-916 · A02
Questions fréquentes
Mon code est-il conservé ?
Non. Il est analysé dans un conteneur isolé, sans accès à Internet, puis supprimé dès la fin de l’analyse. Seuls les résultats sont conservés, secrets masqués.
Combien ça coûte ?
L’offre Gratuite comprend dix analyses par mois, sans carte bancaire. Les offres payantes ajoutent Citadel IA, l’analyse à chaque push et le travail en équipe.
Les autres guides
Sécurité du vibe coding : la checklist avant de mettre votre app en ligne