प्रभाव
आक्रमणकर्ता Next.js ऍप्लिकेशन्समधील सुरक्षा तर्क आणि अधिकृतता तपासण्यांना बायपास करू शकतो, संभाव्यत: प्रतिबंधित स्त्रोतांमध्ये पूर्ण प्रवेश मिळवू शकतो [S1]. ही भेद्यता 9.1 च्या CVSS स्कोअरसह गंभीर म्हणून वर्गीकृत केली गेली आहे कारण त्याला कोणत्याही विशेषाधिकारांची आवश्यकता नाही आणि वापरकर्त्याच्या परस्परसंवादाशिवाय नेटवर्कवर शोषण केले जाऊ शकते [S2].
मूळ कारण
Next.js त्याच्या मिडलवेअर आर्किटेक्चर [S1] अंतर्गत अंतर्गत उप-विनंत्यांची प्रक्रिया कशी करते यावरून भेद्यता उद्भवते. अधिकृतता (CWE-863) साठी मिडलवेअरवर अवलंबून असणारे ॲप्लिकेशन [S2] अंतर्गत शीर्षलेखांचे मूळ योग्यरित्या प्रमाणित करत नसल्यास ते संवेदनाक्षम असतात. विशेषतः, मिडलवेअरचे सुरक्षितता तर्क [S1] प्रभावीपणे वगळून, विनंतीला आधीच-अधिकृत अंतर्गत ऑपरेशन म्हणून हाताळण्यासाठी फ्रेमवर्कची फसवणूक करण्यासाठी बाह्य आक्रमणकर्ता त्यांच्या विनंतीमध्ये x-middleware-subrequest शीर्षलेख समाविष्ट करू शकतो.
त्यासाठी FixVibe चाचण्या कशा करतात
FixVibe मध्ये आता हे गेट केलेले सक्रिय चेक म्हणून समाविष्ट आहे. डोमेन पडताळणीनंतर, active.nextjs.middleware-bypass-cve-2025-29927 Next.js एंडपॉइंट्स शोधते जे बेसलाइन विनंती नाकारतात, नंतर मिडलवेअर बायपास कंडिशनसाठी अरुंद कंट्रोल प्रोब चालवतात. जेव्हा संरक्षित मार्ग CVE-2025-29927 च्या सुसंगत मार्गाने नाकारल्यापासून प्रवेश करण्यायोग्य असा बदलतो तेव्हाच तो अहवाल देतो आणि फिक्स प्रॉम्प्ट Next.js अपग्रेड करण्यावर आणि पॅच होईपर्यंत अंतर्गत मिडलवेअर शीर्षलेख काठावर ब्लॉक करण्यावर उपाय केंद्रित करते.
ठोस निराकरणे
- Next.js अपग्रेड करा: तुमचा अर्ज ताबडतोब पॅच केलेल्या आवृत्तीवर अपडेट करा: 12.3.5, 13.5.9, 14.2.25, किंवा 15.2.3 [S1, S2].
- मॅन्युअल हेडर फिल्टरिंग: तात्काळ अपग्रेड करणे शक्य नसल्यास,
x-middleware-subrequestहेडर सर्व्हरवर पोहोचण्यापूर्वीx-middleware-subrequestहेडर सर्व इनकमिंगमधून काढून टाकण्यासाठी तुमची वेब ॲप्लिकेशन फायरवॉल (WAF) कॉन्फिगर करा किंवा रिव्हर्स प्रॉक्सी करा. [S1]. - Vercel उपयोजन: Vercel वर होस्ट केलेल्या उपयोजनांना प्लॅटफॉर्मच्या फायरवॉल [S2] द्वारे सक्रियपणे संरक्षित केले जाते.