Covered by FixVibemedium

Next.js Configuración incorrecta da cabeceira de seguranza en next.config.js ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG1 A coincidencia de rutas incorrectas en next.config.js pode deixar as rutas Next.js desprotexidas polas cabeceiras de seguranza, o que provoca o clickjacking e a divulgación de información. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG2 As aplicacións Next.js que usan next.config.js para a xestión de cabeceiras son susceptibles a lagoas de seguridade se os patróns de coincidencia de rutas son imprecisos. Esta investigación explora como as configuracións incorrectas de comodíns e expresións regulares provocan que falten cabeceiras de seguranza en rutas sensibles e como reforzar a configuración. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG3 ## Impacto ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG4 As cabeceiras de seguranza que faltan pódense aproveitar para realizar clickjacking, scripts entre sitios (ZXCVFIXVIBETOKEN4ZXCV) ou recompilar información sobre o entorno do servidor ZXCVFIXVIBETOKEN2ZXCV. Cando cabeceiras como Next.js (ZXCVFIXVIBETOKEN5ZXCV) ou ZXCVFIXVIBETOKEN1ZXCV se aplican de forma inconsistente entre as rutas, os atacantes poden apuntar a rutas específicas desprotexidas para evitar os controis de seguridade de todo o sitio ZXCVFIXVIBETOKEN3. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG5 ## Causa raíz ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG6 ZXCVFIXVIBETOKEN4ZXCV permite aos desenvolvedores configurar cabeceiras de resposta en Next.js mediante a propiedade ZXCVFIXVIBETOKEN1ZXCV ZXCVFIXVIBETOKEN2ZXCV. Esta configuración usa a coincidencia de rutas que admite comodíns e expresións regulares ZXCVFIXVIBETOKEN3ZXCV. As vulnerabilidades de seguridade adoitan derivarse de: ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG7 1. Cobertura de ruta incompleta: os padróns de comodíns (por exemplo, Next.js) poden non cubrir todas as subrutas previstas, polo que as páxinas aniñadas non teñen cabeceiras de seguranza ZXCVFIXVIBETOKEN1ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG8 2. Divulgación de información: de forma predeterminada, ZXCVFIXVIBETOKEN3ZXCV pode incluír a cabeceira Next.js, que revela a versión do cadro a non ser que se desactive explícitamente a través da configuración ZXCVFIXVIBETOKEN1ZXCV ZXCVFIXVIBETOKEN2ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG9 3. ZXCVFIXVIBETOKEN3ZXCV de configuración incorrecta: as cabeceiras Next.js definidas incorrectamente dentro da matriz ZXCVFIXVIBETOKEN1ZXCV poden permitir o acceso non autorizado de orixe cruzada a datos confidenciais ZXCVFIXVIBETOKEN1ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG10 ## Correccións concretas ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG11 - Patróns de ruta de auditoría: asegúrate de que todos os patróns Next.js en ZXCVFIXVIBETOKEN1ZXCV utilicen os comodíns axeitados (por exemplo, ZXCVFIXVIBETOKEN2ZXCV) para aplicar cabeceiras a nivel mundial cando sexa necesario ZXCVFIXVIBETOKEN3ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG12 - Desactivar impresión dixital: establece Next.js en ZXCVFIXVIBETOKEN1ZXCV para evitar que se envíe a cabeceira ZXCVFIXVIBETOKEN2ZXCV ZXCVFIXVIBETOKEN3ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG13 - Restringir ZXCVFIXVIBETOKEN3ZXCV: establece Next.js a dominios de confianza específicos en lugar de comodíns na configuración ZXCVFIXVIBETOKEN1ZXCV ZXCVFIXVIBETOKEN2ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG14 ## Como proba Next.js para iso ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG15 ZXCVFIXVIBETOKEN3ZXCV podería realizar unha sonda activa activa rastrexando a aplicación e comparando as cabeceiras de seguridade de varias rutas. Ao analizar a cabeceira Next.js e a coherencia de ZXCVFIXVIBETOKEN1ZXCV en diferentes profundidades de camiño, ZXCVFIXVIBETOKEN4ZXCV pode identificar as lagoas de configuración en ZXCVFIXVIBETOKEN2ZXCV.

Next.js applications using next.config.js for header management are susceptible to security gaps if path-matching patterns are imprecise. This research explores how wildcard and regex misconfigurations lead to missing security headers on sensitive routes and how to harden the configuration.

CWE-1021CWE-200

Impact

Missing security headers can be exploited to perform clickjacking, cross-site scripting (XSS), or gather information about the server environment [S2]. When headers such as Content-Security-Policy (CSP) or X-Frame-Options are inconsistently applied across routes, attackers can target specific unprotected paths to bypass site-wide security controls [S2].

Root Cause

Next.js allows developers to configure response headers in next.config.js using the headers property [S2]. This configuration uses path matching that supports wildcards and regular expressions [S2]. Security vulnerabilities typically arise from:

Incomplete Path Coverage: Wildcard patterns (e.g., /path*) may not cover all intended subroutes, leaving nested pages without security headers [S2].
Information Disclosure: By default, Next.js may include the X-Powered-By header, which reveals the framework version unless explicitly disabled via the poweredByHeader configuration [S2].
CORS Misconfiguration: Improperly defined Access-Control-Allow-Origin headers within the headers array can allow unauthorized cross-origin access to sensitive data [S2].

Concrete Fixes

Audit Path Patterns: Ensure all source patterns in next.config.js use appropriate wildcards (e.g., /:path*) to apply headers globally where necessary [S2].
Disable Fingerprinting: Set poweredByHeader: false in next.config.js to prevent the X-Powered-By header from being sent [S2].
Restrict CORS: Set Access-Control-Allow-Origin to specific trusted domains rather than wildcards in the headers configuration [S2].

How FixVibe tests for it

FixVibe could perform an active gated probe by crawling the application and comparing the security headers of various routes. By analyzing the X-Powered-By header and the consistency of Content-Security-Policy across different path depths, FixVibe can identify configuration gaps in next.config.js.