FixVibe
Covered by FixVibecritical

CVE-2025-29927: Next.js Bypass i autorizimit të ndërmjetëm

Një cenueshmëri kritike në Next.js lejon sulmuesit të anashkalojnë kontrollet e autorizimit të zbatuara në softuerin e mesëm. Duke mashtruar titujt e brendshëm, kërkesat e jashtme mund të maskohen si nën-kërkesa të autorizuara, duke çuar në akses të paautorizuar në rrugët dhe të dhënat e mbrojtura.

CVE-2025-29927GHSA-F82V-JWR5-MFFWCWE-863CWE-285

Ndikimi

Një sulmues mund të anashkalojë kontrollet e logjikës së sigurisë dhe autorizimit në aplikacionet Next.js, duke fituar potencialisht akses të plotë në burimet e kufizuara [S1]. Kjo dobësi është klasifikuar si kritike me një rezultat CVSS prej 9.1 sepse nuk kërkon privilegje dhe mund të shfrytëzohet në rrjet pa ndërveprim të përdoruesit [S2].

Shkaku rrënjësor

Dobësia rrjedh nga mënyra se si Next.js përpunon nën-kërkesat e brendshme brenda arkitekturës së saj të softuerit të mesëm [S1]. Aplikacionet që mbështeten në programin e mesëm për autorizim (CWE-863) janë të ndjeshme nëse nuk vërtetojnë siç duhet origjinën e titujve të brendshëm [S2]. Në mënyrë të veçantë, një sulmues i jashtëm mund të përfshijë kokën x-middleware-subrequest në kërkesën e tyre për të mashtruar kornizën për ta trajtuar kërkesën si një operacion të brendshëm tashmë të autorizuar, duke anashkaluar në mënyrë efektive logjikën e sigurisë së softuerit të mesëm [S1].

Si e teston FixVibe për të

FixVibe tani e përfshin këtë si një kontroll aktiv të mbyllur. Pas verifikimit të domenit, active.nextjs.middleware-bypass-cve-2025-29927 kërkon për pikat fundore Next.js që mohojnë një kërkesë bazë, më pas drejton një hetim të ngushtë kontrolli për kushtin e anashkalimit të softuerit të mesëm. Ai raporton vetëm kur rruga e mbrojtur ndryshon nga e mohuar në e aksesueshme në një mënyrë të përputhshme me CVE-2025-29927, dhe kërkesa e rregullimit e mban riparimin të fokusuar në përmirësimin e Next.js dhe bllokimin e kokës së brendshme të programit të mesëm në skaj derisa të korrigjohet.

Rregullime konkrete

  • Përmirësoni Next.js: Përditësoni menjëherë aplikacionin tuaj në një version të korrigjuar: 12.3.5, 13.5.9, 14.2.25 ose 15.2.3 [S1, S2].
  • Filtrimi manual i kokës: Nëse nuk është i mundur një përmirësim i menjëhershëm, konfiguroni murin e zjarrit të aplikacionit në ueb (WAF) ose përfaqësuesin e kundërt për të hequr kokën x-middleware-subrequest nga të gjitha kërkesat e jashtme hyrëse përpara se të arrijnë në serverin ZXCVFIXVIBETOKEN2XVXCV.
  • Vercel Vendosja: Vendosjet e vendosura në Vercel mbrohen në mënyrë proaktive nga muri i zjarrit i platformës [S2].