Vpliv
Napadalec lahko zaobide varnostno logiko in avtorizacijska preverjanja v aplikacijah Next.js in potencialno pridobi popoln dostop do omejenih virov [S1]. Ta ranljivost je razvrščena kot kritična z oceno CVSS 9,1, ker ne zahteva nobenih privilegijev in jo je mogoče izkoristiti prek omrežja brez interakcije uporabnika [S2].
Temeljni vzrok
Ranljivost izhaja iz tega, kako Next.js obdeluje notranje podzahteve znotraj svoje arhitekture vmesne programske opreme [S1]. Aplikacije, ki se za avtorizacijo zanašajo na vmesno programsko opremo (CWE-863), so dovzetne, če ne potrdijo pravilno izvora notranjih glav [S2]. Natančneje, zunanji napadalec lahko vključi glavo x-middleware-subrequest v svojo zahtevo, da zavede ogrodje, da zahtevo obravnava kot že avtorizirano notranjo operacijo, s čimer dejansko preskoči varnostno logiko [S1] vmesne programske opreme.
Kako ga FixVibe testira
FixVibe to zdaj vključuje kot zaprti aktivni ček. Po preverjanju domene active.nextjs.middleware-bypass-cve-2025-29927 poišče končne točke Next.js, ki zavračajo osnovno zahtevo, nato zažene ozko kontrolno preiskavo za pogoj obvoda vmesne programske opreme. Poroča le, ko se zaščitena pot spremeni iz zavrnjene v dostopno na način, ki je skladen z CVE-2025-29927, in poziv za popravilo ohranja popravilo osredotočeno na nadgradnjo Next.js in blokiranje notranje glave vmesne programske opreme na robu, dokler ni popravljen.
Betonski popravki
- Nadgradnja Next.js: Takoj posodobite svojo aplikacijo na različico s popravki: 12.3.5, 13.5.9, 14.2.25 ali 15.2.3 [S1, S2].
- Ročno filtriranje glave: Če takojšnja nadgradnja ni mogoča, konfigurirajte svoj požarni zid spletne aplikacije (WAF) ali obratni proxy, da odstrani glavo
x-middleware-subrequestiz vseh dohodnih zunanjih zahtev, preden dosežejo strežnik Next.js [S1]. - Uvedba Vercel: Uvedbe, ki gostujejo na Vercel, so proaktivno zaščitene s požarnim zidom platforme [S2].