FixVibe
Covered by FixVibecritical

CVE-2025-29927: Next.js Ffordd Osgoi Awdurdodi Offer Canolog

Mae bregusrwydd critigol yn Next.js yn caniatáu i ymosodwyr osgoi gwiriadau awdurdodi a weithredir mewn nwyddau canol. Trwy ffugio penawdau mewnol, gall ceisiadau allanol guddio fel is-geisiadau awdurdodedig, gan arwain at fynediad heb awdurdod i lwybrau a data gwarchodedig.

CVE-2025-29927GHSA-F82V-JWR5-MFFWCWE-863CWE-285

Effaith

Gall ymosodwr osgoi gwiriadau rhesymeg diogelwch ac awdurdodi mewn cymwysiadau Next.js, gan gael mynediad llawn o bosibl at adnoddau cyfyngedig [S1]. Mae'r bregusrwydd hwn wedi'i ddosbarthu'n hanfodol gyda sgôr CVSS o 9.1 oherwydd nid oes angen unrhyw freintiau a gellir ei ecsbloetio dros y rhwydwaith heb ryngweithio â defnyddwyr [S2].

Achos Gwraidd

Mae'r bregusrwydd yn deillio o sut mae Next.js yn prosesu is-geisiadau mewnol o fewn ei bensaernïaeth canolwedd [S1]. Mae ceisiadau sy'n dibynnu ar offer canol am awdurdodiad (CWE-863) yn agored i niwed os nad ydynt yn dilysu tarddiad penawdau mewnol yn iawn [S2]. Yn benodol, gall ymosodwr allanol gynnwys y pennawd x-middleware-subrequest yn eu cais i dwyllo'r fframwaith i drin y cais fel gweithrediad mewnol sydd eisoes wedi'i awdurdodi, gan hepgor i bob pwrpas rhesymeg diogelwch y nwyddau canol [S1].

Sut mae FixVibe yn ei brofi

Mae FixVibe bellach yn cynnwys hwn fel gwiriad gweithredol â gatiau. Ar ôl dilysu parth, mae active.nextjs.middleware-bypass-cve-2025-29927 yn edrych am bwyntiau terfyn Next.js sy'n gwadu cais llinell sylfaen, yna'n rhedeg stiliwr rheoli cul ar gyfer cyflwr ffordd osgoi nwyddau canol. Mae'n adrodd dim ond pan fydd y llwybr gwarchodedig yn newid o fod wedi'i wrthod i fod yn hygyrch mewn ffordd sy'n gyson â CVE-2025-29927, ac mae'r anogwr atgyweiriad yn cadw'r gwaith adfer yn canolbwyntio ar uwchraddio Next.js a rhwystro'r pennawd nwyddau canol mewnol ar yr ymyl nes ei fod yn glytiog.

Atgyweiriadau Concrit

  • Uwchraddio Next.js: Diweddarwch eich cais ar unwaith i fersiwn glytiog: 12.3.5, 13.5.9, 14.2.25, neu 15.2.3 [S1, S2].
  • Hidlo Pennawd â Llaw: Os nad yw uwchraddio ar unwaith yn bosibl, ffurfweddwch eich Web Application Firewall (WAF) neu wrthdroi dirprwy i dynnu'r pennawd x-middleware-subrequest o bob cais allanol sy'n dod i mewn cyn iddynt gyrraedd gweinydd Next.js ZXCVFIXZVIBETOKEN.
  • Defnyddio Vercel: Mae gosodiadau a gynhelir ar Vercel yn cael eu hamddiffyn yn rhagweithiol gan wal dân y platfform [S2].