Una vulnerabilità recentemente divulgata nel Framework React Next.js è stato assegnato un Punteggio CVSS di 9.1, contrassegnandolo come un rischio critico per la sicurezza. Monitorato come CVE-2025-29927, il difetto può essere sfruttato in condizioni specifiche per bypassare i controlli di autorizzazione basati su middleware, consentendo potenzialmente l'accesso non autorizzato a risorse privilegiate.
Il problema deriva dal modo in cui Next.js gestisce il x-middleware-subrequest intestazione, che viene utilizzato internamente per prevenire loop di richiesta infiniti. Se manipolato, questa intestazione può essere utilizzata per salta l'esecuzione del middleware, consentendo agli aggressori di aggirare i controlli di autorizzazione basati sui cookie prima di raggiungere percorsi sensibili.
Ricercatore di sicurezza Rachid Allam (noto anche come zhero e provare a freddo), chi ha scoperto il difetto, ha pubblicato i dettagli tecnici, rendendo fondamentale per gli sviluppatori agire rapidamente.
Patch per CVE-2025-29927 disponibile per più versioni
Il team di Next.js ha affrontato la vulnerabilità nelle seguenti versioni:
- 12.3.5
- 13.5.9
- 14.2.25
- 15.2.3
Si consiglia agli utenti che non possono effettuare l'aggiornamento immediato di >bloccare tutte le richieste esterne contenenti l' x-middleware-subrequest intestazione dal raggiungere le loro applicazioni per ridurre l'esposizione.
Rischio per l'autorizzazione middleware-only
Secondo Rana, qualsiasi applicazione che si basa esclusivamente sul middleware per l'autorizzazione dell'utente senza misure di sicurezza a più livelli è vulnerabile. Gli aggressori possono sfruttare questa falla per ottenere l'accesso alle pagine riservate agli amministratori o agli utenti con privilegi elevati, il che rappresenta un serio problema per le applicazioni web che gestiscono dati sensibili..
Alla luce della divulgazione dettagliata e dell'interesse attivo per questa vulnerabilità, si invitano gli sviluppatori ad applicare le patch più recenti o ad adottare strategie di mitigazione il prima possibile.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: