En nyligt afsløret sårbarhed i Next.js React framework er blevet tildelt en CVSS-score på 9.1, markerer det som en kritisk sikkerhedsrisiko. Spores som CVE-2025-29927, fejlen kan udnyttes under specifikke forhold til omgå middleware-baserede godkendelsestjek, potentielt tillader uautoriseret adgang til privilegerede ressourcer.
Problemet stammer fra, hvordan Next.js håndterer x-middleware-subrequest header, som bruges internt til at forhindre uendelige anmodningsløkker. Hvis det manipuleres, denne header kan bruges til springe udførelse af middleware over, lader angribere omgå cookie-baserede autorisationskontrol, før de når følsomme ruter.
Sikkerhed forsker Rachid Allam (også kendt som zhero og kold prøve), der opdagede fejlen, har offentliggjort tekniske detaljer, hvilket gør det afgørende for udviklere at handle hurtigt.
Patch til CVE-2025-29927 tilgængelig for flere versioner
Next.js-teamet har behandlet sårbarheden i følgende versioner:
- 12.3.5
- 13.5.9
- 14.2.25
- 15.2.3
Brugere, der ikke umiddelbart kan opdatere, rådes til at >blokere eventuelle eksterne anmodninger, der indeholder x-middleware-subrequest header fra at nå deres applikationer for at reducere eksponeringen.
Risiko for Middleware-Only-autorisation
Ifølge JFrog, enhver applikation, der udelukkende er afhængig af middleware til brugerautorisation uden lagdelte sikkerhedsforanstaltninger, er sårbare. Angribere kan udnytte denne fejl til at få adgang til sider, der er reserveret til administratorer eller brugere med forhøjede rettigheder - hvilket gør det til et alvorligt problem for webapplikationer, der håndterer følsomme data.
I lyset af den detaljerede offentliggørelse og aktive interesse i denne sårbarhed, Udviklere opfordres til at anvende de nyeste patches eller vedtage afbødende strategier så hurtigt som muligt.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: