ਪ੍ਰਭਾਵ
ਇੱਕ ਹਮਲਾਵਰ Next.js ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਸੁਰੱਖਿਆ ਤਰਕ ਅਤੇ ਅਧਿਕਾਰ ਜਾਂਚਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦਾ ਹੈ, ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਪਾਬੰਦੀਸ਼ੁਦਾ ਸਰੋਤਾਂ ਤੱਕ ਪੂਰੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ [S1]। ਇਸ ਕਮਜ਼ੋਰੀ ਨੂੰ 9.1 ਦੇ CVSS ਸਕੋਰ ਦੇ ਨਾਲ ਨਾਜ਼ੁਕ ਵਜੋਂ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿਉਂਕਿ ਇਸ ਨੂੰ ਕਿਸੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ ਅਤੇ ਉਪਭੋਗਤਾ ਦੀ ਗੱਲਬਾਤ [S2] ਦੇ ਬਿਨਾਂ ਨੈੱਟਵਰਕ 'ਤੇ ਇਸਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
ਮੂਲ ਕਾਰਨ
ਕਮਜ਼ੋਰੀ ਇਸ ਗੱਲ ਤੋਂ ਪੈਦਾ ਹੁੰਦੀ ਹੈ ਕਿ ਕਿਵੇਂ Next.js ਆਪਣੇ ਮਿਡਲਵੇਅਰ ਆਰਕੀਟੈਕਚਰ [S1] ਦੇ ਅੰਦਰ ਅੰਦਰੂਨੀ ਉਪ-ਬੇਨਤੀਆਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦਾ ਹੈ। ਅਧਿਕਾਰ (CWE-863) ਲਈ ਮਿਡਲਵੇਅਰ 'ਤੇ ਨਿਰਭਰ ਕਰਨ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਸੰਵੇਦਨਸ਼ੀਲ ਹੁੰਦੀਆਂ ਹਨ ਜੇਕਰ ਉਹ ਅੰਦਰੂਨੀ ਸਿਰਲੇਖਾਂ [S2] ਦੇ ਮੂਲ ਨੂੰ ਸਹੀ ਤਰ੍ਹਾਂ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕਰਦੀਆਂ ਹਨ। ਖਾਸ ਤੌਰ 'ਤੇ, ਇੱਕ ਬਾਹਰੀ ਹਮਲਾਵਰ ਆਪਣੀ ਬੇਨਤੀ ਵਿੱਚ x-middleware-subrequest ਸਿਰਲੇਖ ਨੂੰ ਸ਼ਾਮਲ ਕਰ ਸਕਦਾ ਹੈ ਤਾਂ ਜੋ ਫਰੇਮਵਰਕ ਨੂੰ ਪਹਿਲਾਂ ਤੋਂ-ਅਧਿਕਾਰਤ ਅੰਦਰੂਨੀ ਓਪਰੇਸ਼ਨ ਦੇ ਤੌਰ 'ਤੇ ਟ੍ਰੀਟ ਕੀਤਾ ਜਾ ਸਕੇ, ਮਿਡਲਵੇਅਰ ਦੇ ਸੁਰੱਖਿਆ ਤਰਕ [S1] ਨੂੰ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਢੰਗ ਨਾਲ ਛੱਡਿਆ ਜਾ ਸਕੇ।
FixVibe ਇਸਦੇ ਲਈ ਕਿਵੇਂ ਟੈਸਟ ਕਰਦਾ ਹੈ
FixVibe ਵਿੱਚ ਹੁਣ ਇਸ ਨੂੰ ਗੇਟਡ ਐਕਟਿਵ ਜਾਂਚ ਦੇ ਰੂਪ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਡੋਮੇਨ ਤਸਦੀਕ ਤੋਂ ਬਾਅਦ, active.nextjs.middleware-bypass-cve-2025-29927 Next.js ਅੰਤਮ ਬਿੰਦੂਆਂ ਦੀ ਭਾਲ ਕਰਦਾ ਹੈ ਜੋ ਇੱਕ ਬੇਸਲਾਈਨ ਬੇਨਤੀ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦੇ ਹਨ, ਫਿਰ ਮਿਡਲਵੇਅਰ ਬਾਈਪਾਸ ਸਥਿਤੀ ਲਈ ਇੱਕ ਤੰਗ ਨਿਯੰਤਰਣ ਜਾਂਚ ਚਲਾਉਂਦੇ ਹਨ। ਇਹ ਉਦੋਂ ਹੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ ਜਦੋਂ ਸੁਰੱਖਿਅਤ ਰੂਟ CVE-2025-29927 ਦੇ ਅਨੁਕੂਲ ਤਰੀਕੇ ਨਾਲ ਅਸਵੀਕਾਰ ਤੋਂ ਪਹੁੰਚਯੋਗ ਵਿੱਚ ਬਦਲਦਾ ਹੈ, ਅਤੇ ਫਿਕਸ ਪ੍ਰੋਂਪਟ Next.js ਨੂੰ ਅੱਪਗ੍ਰੇਡ ਕਰਨ ਅਤੇ ਪੈਚ ਹੋਣ ਤੱਕ ਕਿਨਾਰੇ 'ਤੇ ਅੰਦਰੂਨੀ ਮਿਡਲਵੇਅਰ ਹੈਡਰ ਨੂੰ ਬਲੌਕ ਕਰਨ 'ਤੇ ਕੇਂਦ੍ਰਿਤ ਰੱਖਦਾ ਹੈ।
ਕੰਕਰੀਟ ਫਿਕਸ
- Next.js ਅੱਪਗ੍ਰੇਡ ਕਰੋ: ਆਪਣੀ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਤੁਰੰਤ ਇੱਕ ਪੈਚ ਕੀਤੇ ਸੰਸਕਰਣ ਵਿੱਚ ਅੱਪਡੇਟ ਕਰੋ: 12.3.5, 13.5.9, 14.2.25, ਜਾਂ 15.2.3 [S1, S2]।
- ਮੈਨੁਅਲ ਹੈਡਰ ਫਿਲਟਰਿੰਗ: ਜੇਕਰ ਤੁਰੰਤ ਅੱਪਗਰੇਡ ਸੰਭਵ ਨਹੀਂ ਹੈ, ਤਾਂ
x-middleware-subrequestਹੈਡਰ ਨੂੰx-middleware-subrequestਹੈਡਰ ਨੂੰ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹਨਾਂ ਨੂੰ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਤੋਂ ਹਟਾਉਣ ਲਈ ਆਪਣੀ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (WAF) ਨੂੰ ਸੰਰਚਿਤ ਕਰੋ। [S1]. - Vercel ਤੈਨਾਤੀ: Vercel 'ਤੇ ਹੋਸਟ ਕੀਤੀਆਂ ਤੈਨਾਤੀਆਂ ਨੂੰ ਪਲੇਟਫਾਰਮ ਦੀ ਫਾਇਰਵਾਲ [S2] ਦੁਆਰਾ ਸਰਗਰਮੀ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।