Kritická zraniteľnosť Next.js

Framework Next.js obsahuje kritickú zraniteľnosť, ktorá umožňuje útočníkom obísť kontroly autorizácie pomocou špeciálne vytvorených požiadaviek, ak prebiehajú v Middleware a ďalej už nie.

Zraniteľné systémy:

  • Next.js 15.0.0 až staršie ako 15.2.3
  • Next.js 14.0.0 až staršie ako 14.2.25
  • Next.js 13.0.0 až staršie ako 13.5.9
  • Next.js 11.1.4 až staršie ako 12.3.5

Opis činnosti:

CVE-2025-29927 (CVSS skóre 9,1)

Kritická zraniteľnosť umožňuje obísť kontroly autorizácie v rámci inštancií Next.js, ak kontroly prebiehajú v Middleware a aplikácie používajú funkciu next start s parametrom output: ‘standalone‘.

Útočník na to môže zneužiť požiadavky s určitou hodnotou hlavičky x-middleware-subrequest, ktorá spôsobí, že kontrola požiadavky v Middleware sa preskočí, a funkcia NextResponse.next() ju prepošle priamo do cieľového bodu.

Možné škody:

  • Obídenie bezpečnostných prvkov

Odporúčania:

Bezodkladná aktualizácia aspoň na verziu:

  • Next.js 15.x na verziu 15.2.3
  • Next.js 14.x na verziu 14.2.25
  • Next.js 13.x na verziu 13.5.9
  • Next.js 12.x na verziu 12.3.5

Ak aktualizácia nie je možná, pre mitigáciu zraniteľnosti zakážte dostupnosť aplikácie Next.js pre externé požiadavky s hlavičkou x-middleware-subrequest.

Inštancie Next.js hostované cez riešenie Vercel a Netlify sú chránené voči danej zraniteľnosti.

Odkazy: