Inverkan
En angripare kan kringgå säkerhetslogik och auktoriseringskontroller i Next.js-applikationer och potentiellt få full åtkomst till begränsade resurser [S1]. Denna sårbarhet klassificeras som kritisk med en CVSS-poäng på 9.1 eftersom den inte kräver några privilegier och kan utnyttjas över nätverket utan användarinteraktion [S2].
Rotorsak
Sårbarheten härrör från hur Next.js behandlar interna underförfrågningar inom sin middleware-arkitektur [S1]. Applikationer som förlitar sig på mellanprogram för auktorisering (CWE-863) är känsliga om de inte korrekt validerar ursprunget för interna rubriker [S2]. Specifikt kan en extern angripare inkludera x-middleware-subrequest-huvudet i sin begäran för att lura ramverket att behandla begäran som en redan auktoriserad intern operation, vilket effektivt hoppar över mellanvarans säkerhetslogik [S1].
Hur FixVibe testar det
FixVibe inkluderar nu detta som en gated aktiv kontroll. Efter domänverifiering letar active.nextjs.middleware-bypass-cve-2025-29927 efter Next.js-slutpunkter som nekar en baslinjebegäran och kör sedan en smal kontrollsond för förbikopplingsvillkoret för mellanprogram. Den rapporterar endast när den skyddade rutten ändras från nekad till tillgänglig på ett sätt som överensstämmer med CVE-2025-29927, och korrigeringsprompten håller åtgärden fokuserad på att uppgradera Next.js och blockera den interna mellanvaruhuvudet i kanten tills det korrigeras.
Betongfixar
- Uppgradera Next.js: Uppdatera omedelbart din applikation till en korrigerad version: 12.3.5, 13.5.9, 14.2.25 eller 15.2.3 [S1, S2].
- Manuell rubrikfiltrering: Om en omedelbar uppgradering inte är möjlig, konfigurera din webbapplikationsbrandvägg (WAF) eller omvänd proxy för att ta bort
x-middleware-subrequest-huvudet från alla inkommande externa förfrågningar innan de når Next.js-servern [S1]. - Vercel-distribution: Implementeringar som finns på Vercel skyddas proaktivt av plattformens brandvägg [S2].