اثر
حملہ آور Next.js ایپلی کیشنز میں سیکیورٹی منطق اور اجازت کی جانچ کو نظرانداز کر سکتا ہے، ممکنہ طور پر محدود وسائل [S1] تک مکمل رسائی حاصل کر سکتا ہے۔ اس خطرے کو 9.1 کے CVSS سکور کے ساتھ اہم کے طور پر درجہ بندی کیا گیا ہے کیونکہ اس کے لیے کسی مراعات کی ضرورت نہیں ہے اور صارف کی بات چیت کے بغیر نیٹ ورک پر اس کا استحصال کیا جا سکتا ہے [S2]۔
بنیادی وجہ
کمزوری اس بات سے پیدا ہوتی ہے کہ کس طرح Next.js اپنے مڈل ویئر فن تعمیر [S1] کے اندر داخلی ذیلی درخواستوں پر کارروائی کرتا ہے۔ وہ ایپلیکیشنز جو اجازت کے لیے مڈل ویئر پر انحصار کرتی ہیں (CWE-863) حساس ہیں اگر وہ اندرونی ہیڈرز [S2] کی اصل کی درست طریقے سے توثیق نہیں کرتی ہیں۔ خاص طور پر، ایک بیرونی حملہ آور اپنی درخواست میں x-middleware-subrequest ہیڈر کو شامل کر سکتا ہے تاکہ فریم ورک کو فریم ورک کو پہلے سے اجازت یافتہ اندرونی آپریشن کے طور پر سمجھا جائے، مؤثر طریقے سے مڈل ویئر کی سیکیورٹی منطق [S1] کو چھوڑ کر۔
FixVibe اس کے لیے کیسے ٹیسٹ کرتا ہے۔
FixVibe میں اب یہ ایک گیٹڈ ایکٹیو چیک کے طور پر شامل ہے۔ ڈومین کی تصدیق کے بعد، active.nextjs.middleware-bypass-cve-2025-29927 Next.js اینڈ پوائنٹس کو تلاش کرتا ہے جو ایک بنیادی درخواست کو مسترد کرتے ہیں، پھر مڈل ویئر بائی پاس کنڈیشن کے لیے ایک تنگ کنٹرول پروب چلاتے ہیں۔ یہ صرف اس وقت رپورٹ کرتا ہے جب محفوظ راستہ انکار سے قابل رسائی میں تبدیل ہوتا ہے جس طرح CVE-2025-29927 کے مطابق ہوتا ہے، اور فکس پرامپٹ Next.js کو اپ گریڈ کرنے اور پیچ ہونے تک اندرونی مڈل ویئر ہیڈر کو کنارے پر بلاک کرنے پر توجہ مرکوز کرتا ہے۔
ٹھوس اصلاحات
- Next.js کو اپ گریڈ کریں: اپنی ایپلیکیشن کو فوری طور پر پیچ شدہ ورژن میں اپ ڈیٹ کریں: 12.3.5، 13.5.9، 14.2.25، یا 15.2.3 [S1, S2]۔
- دستی ہیڈر فلٹرنگ: اگر فوری اپ گریڈ ممکن نہیں ہے تو،
x-middleware-subrequestہیڈر کوx-middleware-subrequestہیڈر کو ہٹانے کے لیے اپنی ویب ایپلیکیشن فائر وال (WAF) کو ترتیب دیں اس سے پہلے کہ وہx-middleware-subrequestسرور تک پہنچ جائیں۔ [S1]۔ - Vercel تعیناتی: Vercel پر میزبانی کی گئی تعیناتیاں پلیٹ فارم کی فائر وال [S2] کے ذریعے فعال طور پر محفوظ ہیں۔