FixVibe
Covered by FixVibecritical

CVE-2025-29927: Next.js Middleware Authorization Bypass

Athari kubwa katika Next.js huruhusu washambuliaji kukwepa ukaguzi wa uidhinishaji unaotekelezwa katika programu ya kati. Kwa kudanganya vichwa vya ndani, maombi ya nje yanaweza kujifanya kuwa maombi madogo yaliyoidhinishwa, na hivyo kusababisha ufikiaji usioidhinishwa wa njia na data zilizolindwa.

CVE-2025-29927GHSA-F82V-JWR5-MFFWCWE-863CWE-285

Athari

Mshambulizi anaweza kukwepa ukaguzi wa mantiki ya usalama na uidhinishaji katika programu za Next.js, uwezekano wa kupata ufikiaji kamili wa rasilimali zilizowekewa vikwazo [S1]. Athari hii imeainishwa kuwa muhimu kwa alama ya CVSS ya 9.1 kwa sababu haihitaji mapendeleo na inaweza kutumika mtandaoni bila mwingiliano wa mtumiaji [S2].

Chanzo Chanzo

Athari hii inatokana na jinsi Next.js inavyochakata maombi madogo ya ndani ndani ya usanifu wake wa vifaa vya kati [S1]. Programu zinazotegemea programu ya kati kwa uidhinishaji (CWE-863) zinaweza kuathiriwa ikiwa hazitathibitisha ipasavyo asili ya vichwa vya ndani [S2]. Hasa, mshambulizi wa nje anaweza kujumuisha kichwa cha x-middleware-subrequest katika ombi lao la kudanganya mfumo ili kushughulikia ombi kama operesheni ya ndani iliyoidhinishwa tayari, kwa kuruka mantiki ya usalama ya middleware [S1].

Jinsi FixVibe inavyoifanyia majaribio

FixVibe sasa inajumuisha hii kama ukaguzi amilifu uliowekwa lango. Baada ya uthibitishaji wa kikoa, active.nextjs.middleware-bypass-cve-2025-29927 hutafuta ncha za Next.js ambazo zinakataa ombi la msingi, kisha huendesha uchunguzi finyu wa udhibiti wa hali ya bypass ya kati. Inaripoti tu wakati njia iliyolindwa inabadilika kutoka kukataliwa hadi kufikiwa kwa njia inayolingana na CVE-2025-29927, na kidokezo cha kurekebisha huweka urekebishaji ukilenga kuboresha Next.js na kuzuia kichwa cha kati cha ndani ukingoni hadi kibanwe.

Marekebisho ya Zege

  • Boresha Next.js: Sasisha programu yako mara moja iwe toleo lililotiwa viraka: 12.3.5, 13.5.9, 14.2.25, au 15.2.3 [S1, S2].
  • Uchujaji wa Kijajuu Mwongozo: Ikiwa uboreshaji wa mara moja hauwezekani, sanidi Kingangamoto cha Programu ya Wavuti (WAF) au geuza seva mbadala ili kuvua kichwa cha x-middleware-subrequest kutoka kwa maombi yote ya nje yanayoingia kabla ya kufikia seva ya Next.js ZXCVFIXVIZXCVEN x-middleware-subrequest.
  • Vercel Usambazaji: Usambazaji uliopangishwa kwenye Vercel unalindwa kikamilifu na ngome ya mfumo [S2].