微步情报局获取到 next.js middleware 权限绕过漏洞情报 CVE-2025-29927 (https://x.threatbook.com/v5/vul/XVE-2025-9720)。
当在 next.js应用中使用middleware 时，在请求头中加入特定的 x-middleware-subrequest 请求头即可绕过 middleware 中的逻辑。例如当使用 middleware 进行身份验证与授权，可利用该漏洞绕过身份验证。
该漏洞利用难度较低，且技术细节已公开，建议受影响用户尽快修复。
综合处置优先级：高
|
基本信息 |
微步编号 |
XVE-2025-9720 |
| CVE编号 | CVE-2025-29927 | |
| 漏洞类型 |
权限绕过 |
|
|
利用条件评估 |
利用漏洞的网络条件 |
远程 |
|
是否需要绕过安全机制 |
不需要 | |
|
对被攻击系统的要求 |
next.js应用中使用了middleware | |
|
利用漏洞的权限要求 |
无需任何权限 | |
|
是否需要受害者配合 |
不需要 | |
|
利用情报 |
POC是否公开 |
是 |
| 已知利用行为 |
否 |
|
产品名称 |
Vercel - Next.js |
|
受影响版本 |
11.1.4 < version ≤ 13.5.6 14.0 < version < 14.2.25 15.0 < version < 15.2.3 |
|
有无修复补丁 |
有 |
Next.js官方已发布漏洞公告，请尽快前往更新至不受影响版本：
临时修复方案：
原文始发于微信公众号（微步在线研究响应中心）：漏洞通告 | Next.js middleware 权限绕过漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论