ຜົນກະທົບ
ຜູ້ໂຈມຕີສາມາດຂ້າມຜ່ານການກວດສອບຄວາມປອດໄພ ແລະການກວດສອບການອະນຸຍາດໃນແອັບພລິເຄຊັນ Next.js, ເຊິ່ງອາດຈະໄດ້ຮັບການເຂົ້າເຖິງຊັບພະຍາກອນທີ່ຖືກຈຳກັດຢ່າງເຕັມທີ່ [S1]. ຊ່ອງໂຫວ່ນີ້ຖືກຈັດປະເພດເປັນຈຸດສໍາຄັນທີ່ມີຄະແນນ CVSS 9.1 ເນື່ອງຈາກວ່າມັນບໍ່ຮຽກຮ້ອງໃຫ້ມີສິດທິພິເສດ ແລະສາມາດຖືກຂູດຮີດຜ່ານເຄືອຂ່າຍໂດຍບໍ່ມີການໂຕ້ຕອບກັບຜູ້ໃຊ້ [S2].
ສາເຫດ
ຊ່ອງໂຫວ່ແມ່ນມາຈາກວິທີການ Next.js ປະມວນຜົນການຮ້ອງຂໍຍ່ອຍພາຍໃນພາຍໃນສະຖາປັດຕະຍະກຳກາງຂອງ [S1]. ແອັບພລິເຄຊັ່ນທີ່ອາໄສເຄື່ອງກາງສຳລັບການອະນຸຍາດ (CWE-863) ມີຄວາມອ່ອນໄຫວຖ້າພວກເຂົາບໍ່ໄດ້ກວດສອບແຫຼ່ງທີ່ມາຂອງສ່ວນຫົວພາຍໃນ [S2] ຢ່າງຖືກຕ້ອງ. ໂດຍສະເພາະ, ຜູ້ໂຈມຕີພາຍນອກສາມາດລວມເອົາຫົວ x-middleware-subrequest ໃນຄໍາຮ້ອງຂໍຂອງພວກເຂົາເພື່ອຫລອກລວງກອບເຂົ້າໃນການປະຕິບັດຄໍາຮ້ອງຂໍເປັນການດໍາເນີນງານພາຍໃນທີ່ໄດ້ຮັບອະນຸຍາດແລ້ວ, ຂ້າມເຫດຜົນດ້ານຄວາມປອດໄພຂອງຕົວກາງຢ່າງມີປະສິດທິພາບ [S1].
ວິທີການ FixVibe ທົດສອບສໍາລັບມັນ
FixVibe ຕອນນີ້ລວມເອົາອັນນີ້ເປັນການກວດສອບທີ່ມີການເຄື່ອນໄຫວ. ຫຼັງຈາກການກວດສອບໂດເມນ, active.nextjs.middleware-bypass-cve-2025-29927 ຊອກຫາຈຸດສິ້ນສຸດຂອງ Next.js ທີ່ປະຕິເສດການຮ້ອງຂໍພື້ນຖານ, ຫຼັງຈາກນັ້ນດໍາເນີນການກວດສອບການຄວບຄຸມແຄບສໍາລັບເງື່ອນໄຂຂ້າມຕົວກາງ. ມັນລາຍງານພຽງແຕ່ເມື່ອເສັ້ນທາງທີ່ຖືກປົກປ້ອງປ່ຽນຈາກການປະຕິເສດໄປສູ່ການເຂົ້າເຖິງໃນແບບທີ່ສອດຄ່ອງກັບ CVE-2025-29927, ແລະການເຕືອນການແກ້ໄຂເຮັດໃຫ້ການແກ້ໄຂສຸມໃສ່ການຍົກລະດັບ Next.js ແລະການຂັດຂວາງສ່ວນຫົວກາງພາຍໃນຢູ່ຂອບຈົນກ່ວາ patched.
ແກ້ໄຂຄອນກີດ
- ອັບເກຣດ Next.js: ອັບເດດແອັບພລິເຄຊັນຂອງທ່ານໃນທັນທີເປັນເວີຊັນທີ່ອັບເດດແລ້ວ: 12.3.5, 13.5.9, 14.2.25, ຫຼື 15.2.3 [S1, S2].
- ການກັ່ນຕອງສ່ວນຫົວດ້ວຍມື: ຖ້າການອັບເກຣດທັນທີບໍ່ສາມາດເຮັດໄດ້, ຕັ້ງຄ່າ Web Application Firewall (WAF) ຂອງທ່ານ ຫຼື reverse proxy ເພື່ອຖອດສ່ວນຫົວ
x-middleware-subrequestອອກຈາກທຸກຄໍາຮ້ອງຂໍພາຍນອກທີ່ເຂົ້າມາກ່ອນທີ່ພວກມັນຈະໄປຮອດເຊີບເວີ Next.js ZXCVFIXZVIBETOKEN1. - ການຕິດຕັ້ງ Vercel: ການຈັດວາງໃນ Vercel ແມ່ນຖືກປົກປ້ອງຢ່າງຈິງຈັງໂດຍໄຟວໍຂອງແພລດຟອມ [S2].