Áhrif
Árásarmaður getur framhjá öryggisrökfræði og heimildaskoðun í Next.js forritum, hugsanlega fengið fullan aðgang að takmörkuðum auðlindum [S1]. Þessi veikleiki er flokkaður sem mikilvægur með CVSS-einkunnina 9.1 vegna þess að hann krefst engin réttinda og hægt er að nýta hann yfir netið án samskipta notenda [S2].
Orsök
Varnarleysið stafar af því hvernig Next.js vinnur úr innri undirbeiðnum innan millihugbúnaðararkitektúrsins [S1]. Forrit sem treysta á millihugbúnað fyrir heimild (CWE-863) eru næm ef þau sannreyna ekki rétt uppruna innri hausa [S2]. Nánar tiltekið, utanaðkomandi árásarmaður getur haft x-middleware-subrequest hausinn í beiðni sinni til að plata rammann til að meðhöndla beiðnina sem þegar viðurkennda innri aðgerð, og í raun sleppa öryggisrökfræði millihugbúnaðarins [S1].
Hvernig FixVibe prófar það
FixVibe inniheldur þetta nú sem virk ávísun. Eftir staðfestingu léns leitar active.nextjs.middleware-bypass-cve-2025-29927 að Next.js endapunktum sem hafna grunnlínubeiðni og keyrir síðan þröngan stjórnkönnun fyrir framhjáhaldsskilyrði millihugbúnaðar. Það tilkynnir aðeins þegar verndaða leiðin breytist úr neitað í aðgengilegt á þann hátt sem er í samræmi við CVE-2025-29927, og lagfæringin heldur endurbótum á áherslu á að uppfæra Next.js og hindra innri miðvarðarhaus við brúnina þar til lagfæring er lagfærð.
Steinsteypa lagfæringar
- Uppfærsla Next.js: Uppfærðu forritið þitt strax í pjattaða útgáfu: 12.3.5, 13.5.9, 14.2.25 eða 15.2.3 [S1, S2].
- Handvirk hausasía: Ef tafarlaus uppfærsla er ekki möguleg skaltu stilla vefforritseldvegg (WAF) eða öfuga proxy til að fjarlægja
x-middleware-subrequesthausinn frá öllum ytri beiðnum sem berast áður en þær berast Next.js þjóninum [S1]. - Vercel Dreifing: Dreifing sem hýst er á Vercel eru varin með fyrirbyggjandi hætti af eldvegg vettvangsins [S2].