UCloud-202503-002:Next.js Middleware鉴权绕过漏洞安全警告

漏洞详情

近日官方修复Next.js Middleware鉴权绕过漏洞(CVE-2025-29927)，该漏洞源于Next.js使用中间件进行身份验证和授权的过程存在漏洞，该漏洞允许攻击者通过操作 x-middleware-subrequest 请求头来绕过基于中间件的安全控制，从而可能获得对受保护资源和敏感数据的未授权访问。目前该漏洞技术细节与PoC已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

影响范围

15.* <= Next.js <15.2.3

14.* <= Next.js <14.2.25

11.1.4 <= Next.js <= 13.5.6

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

1、官方已有可更新版本，建议受影响用户升级至最新版本

Next.js >= 12.3.5

Next.js >= 14.2.25

Next.js >= 15.2.3

Next.js >= 13.5.9

2、修复缓解措施：

阻止包含x-middleware-subrequest标头的外部用户请求到达您的 Next.js 应用程序；

参考链接

https://github.com/vercel/next.js/security/advisories/GHSA-f82v-jwr5-mffw