FixVibe
Covered by FixVibecritical

CVE-2025-29927: Next.js Бајпас за авторизација на среден софтвер

Критична ранливост во Next.js им овозможува на напаѓачите да ги заобиколат проверките за авторизација имплементирани во среден софтвер. Со лажирање на внатрешни заглавија, надворешните барања може да се маскираат како овластени подбарања, што доведува до неовластен пристап до заштитените рути и податоци.

CVE-2025-29927GHSA-F82V-JWR5-MFFWCWE-863CWE-285

Влијание

Напаѓачот може да ги заобиколи безбедносните логички проверки и овластувања во апликациите Next.js, потенцијално добивајќи целосен пристап до ограничените ресурси [S1]. Оваа ранливост е класифицирана како критична со оцена CVSS од 9,1 бидејќи не бара никакви привилегии и може да се експлоатира преку мрежата без интеракција со корисникот [S2].

Основна причина

Ранливоста произлегува од тоа како Next.js ги обработува внатрешните под-барања во својата архитектура на среден софтвер [S1]. Апликациите што се потпираат на среден софтвер за авторизација (CWE-863) се подложни ако не го потврдуваат правилно потеклото на внатрешните заглавија [S2]. Поточно, надворешен напаѓач може да го вклучи заглавието x-middleware-subrequest во нивното барање за да ја измами рамката да го третира барањето како веќе овластена внатрешна операција, ефикасно прескокнувајќи ја безбедносната логика на средниот софтвер [S1].

Како FixVibe тестира за него

FixVibe сега го вклучува ова како затворена активна проверка. По потврдувањето на доменот, active.nextjs.middleware-bypass-cve-2025-29927 бара Next.js завршни точки кои негираат основно барање, а потоа извршува тесна контролна сонда за состојбата на бајпас на среден софтвер. Се известува само кога заштитената рута се менува од одбиена во достапна на начин што е во согласност со CVE-2025-29927, а барањето за поправка ја одржува ремедијацијата фокусирана на надградба на Next.js и блокирање на заглавието на внатрешниот среден софтвер на работ додека не се закрпи.

Бетонски поправки

  • Надградете го Next.js: Веднаш ажурирајте ја вашата апликација на закрпена верзија: 12.3.5, 13.5.9, 14.2.25 или 15.2.3 [S1, S2].
  • Рачно филтрирање на заглавието: ако не е возможна итна надградба, конфигурирајте го заштитниот ѕид на веб-апликацијата (WAF) или обратниот прокси за да го отстраните заглавието x-middleware-subrequest од сите дојдовни надворешни барања пред да стигнат до ZXCVFIXVIBETOKEN2XVCVCV.
  • Vercel Распоредување: распоредувањата хостирани на Vercel се проактивно заштитени со заштитен ѕид на платформата [S2].