تاثیر
یک مهاجم میتواند منطق امنیتی و بررسیهای مجوز را در برنامههای Next.js دور بزند و به طور بالقوه به منابع محدود [S1] دسترسی کامل پیدا کند. این آسیبپذیری با امتیاز CVSS 9.1 به عنوان بحرانی طبقهبندی میشود زیرا به هیچ امتیازی نیاز ندارد و میتواند در شبکه بدون تعامل با کاربر [S2] مورد سوء استفاده قرار گیرد.
علت اصلی
این آسیبپذیری از نحوه پردازش درخواستهای فرعی داخلی توسط Next.js در معماری میانافزار [S1] ناشی میشود. برنامههایی که برای مجوز به میانافزار متکی هستند (CWE-863) اگر به درستی مبدا سرصفحههای داخلی [S2] را تأیید نکنند، مستعد هستند. به طور خاص، یک مهاجم خارجی میتواند هدر x-middleware-subrequest را در درخواست خود قرار دهد تا فریمورک را فریب دهد تا درخواست را به عنوان یک عملیات داخلی از قبل مجاز تلقی کند و عملاً منطق امنیتی میانافزار [S1] را نادیده بگیرد.
چگونه FixVibe آن را آزمایش می کند
FixVibe اکنون این مورد را به عنوان یک چک فعال دردار گنجانده است. پس از تأیید دامنه، active.nextjs.middleware-bypass-cve-2025-29927 به دنبال نقاط پایانی Next.js می گردد که درخواست خط پایه را رد می کنند، سپس یک کاوشگر کنترل باریک را برای شرایط بای پس میان افزار اجرا می کند. فقط زمانی گزارش میدهد که مسیر محافظتشده از حالت رد شده به قابل دسترسی تغییر کند که مطابق با CVE-2025-29927 باشد، و درخواست رفع مشکل، اصلاح را بر ارتقای Next.js و مسدود کردن هدر میانافزار داخلی در لبه تا زمانی که وصله کند، متمرکز میکند.
رفع بتنی
- Next.js را ارتقا دهید: فوراً برنامه خود را به نسخه وصله شده به روز کنید: 12.3.5، 13.5.9، 14.2.25، یا 15.2.3 [S1, S2].
- فیلتر هدر دستی: اگر ارتقاء فوری امکان پذیر نیست، فایروال برنامه کاربردی وب (WAF) یا پروکسی معکوس خود را پیکربندی کنید تا هدر
x-middleware-subrequestرا از تمامی درخواست های خارجی دریافتی قبل از رسیدن به ZXCVFIXVIBETOKEN2XVXCV، حذف کند. - استقرار Vercel: استقرارهای میزبانی شده در Vercel به طور فعال توسط فایروال پلت فرم [S2] محافظت می شوند.