CVE-2025-29927

Atakujący wysyła żądanie HTTP zawierające specjalnie spreparowany nagłówek x-middleware-subrequest. Next.js traktuje takie żądanie jako wewnętrzne podzapytanie middleware i pomija wykonanie logiki autoryzacyjnej zdefiniowanej w warstwie middleware. W efekcie kontrole dostępu — niezależnie od ich implementacji — są ignorowane, a żądanie trafia do chronionych zasobów bez weryfikacji uprawnień. Problem dotyczy wszystkich sprawdzeń autoryzacyjnych umieszczonych wyłącznie w middleware.

Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów aplikacji oraz manipulować danymi, do których normalnie nie powinien mieć uprawnień, co odpowiada naruszeniu poufności i integralności (CWE-285, CWE-863).

Należy zaktualizować Next.js do wersji 12.3.5, 13.5.9, 14.2.25 lub 15.2.3. Jeśli aktualizacja nie jest możliwa do natychmiastowego wdrożenia, producent zaleca blokowanie na poziomie infrastruktury (reverse proxy, firewall, load balancer) wszystkich przychodzących żądań zewnętrznych zawierających nagłówek x-middleware-subrequest, tak aby nie docierały do aplikacji Next.js.

Next.js w wersjach od 1.11.4 do 12.3.4, od 13.0.0 do 13.5.8, od 14.0.0 do 14.2.24 oraz od 15.0.0 do 15.2.2 — wszystkie warianty oparte o framework Next.js firmy Vercel, w których logika autoryzacji jest zaimplementowana w middleware.

Producent (Vercel) opublikował oficjalne security advisory GHSA-f82v-jwr5-mffw. Podatność dotyczy wyłącznie aplikacji, w których autoryzacja jest realizowana w warstwie middleware — jeśli sprawdzenia uprawnień są implementowane na poziomie poszczególnych route handlerów lub stron, ryzyko jest mniejsze.