Уязвимость, прилегающая к высокой безопасности, обнаружена в следующей. CVE-2025-29927 получил оценку CVSS 9,1 по шкале 10.
В консультации от Next.js говорится, что «Next.js использует внутренний заголовок, X-Middleware-Subrequest, чтобы предотвратить рекурсивные запросы на бесконечные петли».
Пренебрежение, можно было уклониться от выполнения промежуточного программного обеспечения, что, следовательно, делает запросы критическими проверками так же, как подтверждение файлов cookie авторизации. Это было, прежде чем пройти путь к назначенным маршрутам.
Примечательно, что CVE-2015-29927 влияет только на самостоятельные установки, используя «Next Start» с конфигурацией «Выход: автономный». Таким образом, приложения Next.js, размещенные на Vercel или NetLify, или развернутые в качестве статического экспорта, не являются восприимчивыми.
Патч был применен в следующих 12.3.5, 13.5.9, 14.2.25 и 15.2.3. Если пользователи не смогут исправить, рекомендация будет заключаться в том, чтобы разрешить внешние запросы с заголовком X-Middleware-Subrequest, чтобы заблокировать доступ к приложению следующего.js.
Рахид Аллам, также называемый Zhero и Cold-Try, исследователем безопасности, который обнаружил уязвимость, с тех пор опубликовал больше технической информации о недостатках и непосредственной потребности в работе пользователя.
JFROG подчеркнул, что уязвимость позволяет злоумышленникам легко обходить проверки авторизации, выполненные в промежуточном программном обеспечении Next.js, что может привести к несанкционированному доступу к конфиденциальным веб -страницам, предназначенным для администраторов или других привилегированных пользователей.
Компания также предупредила, что любой веб-сайт, использующий промежуточное программное обеспечение для авторизации пользователя без дополнительных проверок, подвержен CVE-2025-29927, что может позволить злоумышленникам получить доступ к ограниченным областям, таким как страницы администратора.
CVE-2025-29927 влияет на все версии Next.js. Несмотря на то, что маршруты эксплуатации становятся немного разными с разными версиями, ядро уязвимость остается одинаковой. Для более ранних версий эксплойт состоит из специально созданного заголовка запроса, значение которого содержит _middleware.