FixVibe
Covered by FixVibecritical

CVE-2025-29927: Next.js मिडलवेयर प्राधिकरण बाईपास

Next.js में एक गंभीर भेद्यता हमलावरों को मिडलवेयर में लागू प्राधिकरण जांच को बायपास करने की अनुमति देती है। आंतरिक हेडर को स्पूफ करके, बाहरी अनुरोध अधिकृत उप-अनुरोध के रूप में सामने आ सकते हैं, जिससे संरक्षित मार्गों और डेटा तक अनधिकृत पहुंच हो सकती है।

CVE-2025-29927GHSA-F82V-JWR5-MFFWCWE-863CWE-285

प्रभाव

एक हमलावर Next.js अनुप्रयोगों में सुरक्षा तर्क और प्राधिकरण जांच को बायपास कर सकता है, संभावित रूप से प्रतिबंधित संसाधनों [S1] तक पूर्ण पहुंच प्राप्त कर सकता है। इस भेद्यता को 9.1 के सीवीएसएस स्कोर के साथ महत्वपूर्ण के रूप में वर्गीकृत किया गया है क्योंकि इसके लिए किसी विशेषाधिकार की आवश्यकता नहीं है और उपयोगकर्ता इंटरैक्शन [S2] के बिना नेटवर्क पर इसका फायदा उठाया जा सकता है।

मूल कारण

भेद्यता इस बात से उत्पन्न होती है कि Next.js अपने मिडलवेयर आर्किटेक्चर [S1] के भीतर आंतरिक उप-अनुरोधों को कैसे संसाधित करता है। प्राधिकरण के लिए मिडलवेयर (CWE-863) पर भरोसा करने वाले एप्लिकेशन अतिसंवेदनशील होते हैं यदि वे आंतरिक हेडर [S2] की उत्पत्ति को ठीक से मान्य नहीं करते हैं। विशेष रूप से, एक बाहरी हमलावर अपने अनुरोध में x-middleware-subrequest हेडर को शामिल कर सकता है ताकि फ्रेमवर्क को अनुरोध को पहले से ही अधिकृत आंतरिक ऑपरेशन के रूप में माना जा सके, जिससे मिडलवेयर के सुरक्षा तर्क [S1] को प्रभावी ढंग से छोड़ दिया जा सके।

FixVibe इसका परीक्षण कैसे करता है

FixVibe में अब इसे एक गेटेड सक्रिय जांच के रूप में शामिल किया गया है। डोमेन सत्यापन के बाद, active.nextjs.middleware-bypass-cve-2025-29927 उन Next.js एंडपॉइंट्स की तलाश करता है जो बेसलाइन अनुरोध को अस्वीकार करते हैं, फिर मिडलवेयर बाईपास स्थिति के लिए एक संकीर्ण नियंत्रण जांच चलाते हैं। यह केवल तभी रिपोर्ट करता है जब संरक्षित मार्ग CVE-2025-29927 के अनुरूप एक तरह से अस्वीकृत से सुलभ में बदल जाता है, और फिक्स प्रॉम्प्ट Next.js को अपग्रेड करने और पैच होने तक किनारे पर आंतरिक मिडलवेयर हेडर को ब्लॉक करने पर ध्यान केंद्रित रखता है।

ठोस सुधार

  • अपग्रेड Next.js: अपने एप्लिकेशन को तुरंत पैच किए गए संस्करण में अपडेट करें: 12.3.5, 13.5.9, 14.2.25, या 15.2.3 [S1, S2]।
  • मैन्युअल हेडर फ़िल्टरिंग: यदि तत्काल अपग्रेड संभव नहीं है, तो ZXCVFIXVIBTOKEN0ZXCV सर्वर ZXCVFIXVIBTOKEN1ZXCV तक पहुंचने से पहले आने वाले सभी बाहरी अनुरोधों से ZXCVFIXVIBTOKEN0ZXCV हेडर को हटाने के लिए अपने वेब एप्लिकेशन फ़ायरवॉल (WAF) या रिवर्स प्रॉक्सी को कॉन्फ़िगर करें।
  • ZXCVFIXVIBTOKEN1ZXCV परिनियोजन: ZXCVFIXVIBTOKEN2ZXCV पर होस्ट किए गए परिनियोजन प्लेटफ़ॉर्म के फ़ायरवॉल ZXCVFIXVIBTOKEN0ZXCV द्वारा सक्रिय रूप से संरक्षित हैं।