Impatt
Attakkant jista' jevita l-loġika tas-sigurtà u l-kontrolli tal-awtorizzazzjoni fl-applikazzjonijiet Next.js, potenzjalment jikseb aċċess sħiħ għal riżorsi ristretti [S1]. Din il-vulnerabbiltà hija kklassifikata bħala kritika b'punteġġ CVSS ta' 9.1 għaliex ma teħtieġ l-ebda privileġġ u tista' tiġi sfruttata fuq in-netwerk mingħajr interazzjoni tal-utent [S2].
Kawża Għerq
Il-vulnerabbiltà ġejja minn kif Next.js tipproċessa sub-talbiet interni fi ħdan l-arkitettura middleware tagħha [S1]. Applikazzjonijiet li jiddependu fuq middleware għall-awtorizzazzjoni (CWE-863) huma suxxettibbli jekk ma jivvalidawx sew l-oriġini tal-headers interni [S2]. Speċifikament, attakkant estern jista 'jinkludi l-header x-middleware-subrequest fit-talba tiegħu biex iqarraq bil-qafas biex jittratta t-talba bħala operazzjoni interna diġà awtorizzata, u b'mod effettiv taqbeż il-loġika tas-sigurtà tal-middleware [S1].
Kif FixVibe jittestja għaliha
FixVibe issa jinkludi dan bħala kontroll attiv gated. Wara l-verifika tad-dominju, active.nextjs.middleware-bypass-cve-2025-29927 ifittex endpoints Next.js li jiċħdu talba ta' linja bażi, imbagħad imexxi sonda ta' kontroll dejqa għall-kundizzjoni ta' bypass middleware. Jirrapporta biss meta r-rotta protetta tinbidel minn miċħuda għal aċċessibbli b'mod konsistenti ma' CVE-2025-29927, u l-pront tal-iffissar iżomm ir-rimedju ffukat fuq it-titjib ta' Next.js u l-imblukkar tal-header intern tal-middleware fit-tarf sakemm jiġi patched.
Fixs tal-Konkrit
- Aġġorna Next.js: Aġġorna immedjatament l-applikazzjoni tiegħek għal verżjoni patched: 12.3.5, 13.5.9, 14.2.25, jew 15.2.3 [S1, S2].
- Filtrar manwali tal-header: Jekk aġġornament immedjat ma jkunx possibbli, kkonfigurat tiegħek Web Application Firewall (WAF) jew reverse proxy biex tneħħi l-header
x-middleware-subrequestmit-talbiet esterni kollha deħlin qabel ma jilħqu s-server Next.js [S1]. - Vercel Skjerament: Skjeramenti ospitati fuq Vercel huma protetti b'mod proattiv mill-firewall tal-pjattaforma [S2].