التأثير
يمكن للمهاجم تجاوز منطق الأمان وعمليات التحقق من الترخيص في تطبيقات Next.js، ومن المحتمل أن يحصل على حق الوصول الكامل إلى الموارد المقيدة [S1]. تم تصنيف هذه الثغرة الأمنية على أنها خطيرة مع درجة CVSS تبلغ 9.1 لأنها لا تتطلب أي امتيازات ويمكن استغلالها عبر الشبكة دون تدخل المستخدم [S2].
السبب الجذري
تنبع الثغرة الأمنية من كيفية معالجة Next.js للطلبات الفرعية الداخلية ضمن بنية البرامج الوسيطة [S1]. التطبيقات التي تعتمد على البرامج الوسيطة للحصول على الترخيص (CWE-863) تكون عرضة للخطر إذا لم تتحقق بشكل صحيح من أصل الرؤوس الداخلية [S2]. على وجه التحديد، يمكن للمهاجم الخارجي تضمين رأس x-middleware-subrequest في طلبه لخداع إطار العمل للتعامل مع الطلب باعتباره عملية داخلية مصرح بها بالفعل، مما يؤدي بشكل فعال إلى تخطي منطق أمان البرنامج الوسيط [S1].
كيفية اختبار FixVibe لذلك
يتضمن FixVibe هذا الآن كفحص نشط مسور. بعد التحقق من المجال، يبحث active.nextjs.middleware-bypass-cve-2025-29927 عن نقاط نهاية Next.js التي ترفض طلبًا أساسيًا، ثم يقوم بتشغيل مسبار تحكم ضيق لشرط تجاوز البرامج الوسيطة. يتم الإبلاغ فقط عندما يتغير المسار المحمي من مرفوض إلى قابل للوصول بطريقة تتفق مع CVE-2025-29927، ويحافظ موجه الإصلاح على تركيز المعالجة على ترقية Next.js وحظر رأس البرنامج الوسيط الداخلي عند الحافة حتى يتم تصحيحه.
الإصلاحات الخرسانية
- ترقية Next.js: قم بتحديث تطبيقك على الفور إلى إصدار مصحح: 12.3.5، أو 13.5.9، أو 14.2.25، أو 15.2.3 [S1، S2].
- تصفية الرأس يدويًا: إذا لم تكن الترقية الفورية ممكنة، فقم بتكوين جدار حماية تطبيق الويب (WAF) أو الوكيل العكسي لإزالة رأس
x-middleware-subrequestمن جميع الطلبات الخارجية الواردة قبل أن تصل إلى خادم Next.js [S1]. - نشر Vercel: عمليات النشر المستضافة على Vercel محمية بشكل استباقي بواسطة جدار حماية النظام الأساسي [S2].