Next.js中间件权限绕过漏洞（CVE-2025-29927），从零基础到精通，收藏这篇就够了!

编程语言 2025-04-08 08:36
0 阅读


1. 漏洞“吃瓜”群众围观区

最近，安全圈传出一条爆炸性新闻：Next.js 爆了个大雷，一个中间件权限绕过漏洞（CVE-2025-29927）被曝光！简单来说，就是黑客可以利用这个漏洞，绕过你的层层设防，直接进入你的系统“搞事情”。

罪魁祸首就是 Next.js 对 x-middleware-subrequest 这个请求头的校验机制存在缺陷。当你配置了中间件进行身份验证和授权时，攻击者可以通过“骚操作”篡改这个请求头，就能堂而皇之地绕过权限控制，访问你原本想保护的资源。这感觉就像你家大门钥匙被复制了，谁都能进！

更可怕的是，现在漏洞细节和 PoC（概念验证代码）都已经公开了，这意味着黑客们可以拿着“作案工具”直接开干了！所以，各位 Next.js 的用户，赶紧重视起来，采取行动进行防护才是王道。

Next.js，作为 Node.js 阵营中冉冉升起的 Web 框架新星，凭借其 Server Actions 功能，让后端开发变得更加丝滑。但这次的漏洞，无疑给它敲响了警钟。

绿盟科技 CERT 已经成功复现了这个漏洞，下面是“案发现场”：

image.png

扫描二维码关注公众号，回复： 17552499 查看本文章

image.png

SEE MORE →

2. “中招”名单大曝光

高危版本（赶紧自查）：

  • 11.1.4 <= Next.js <= 13.5.6

  • 14.0.0 <= Next.js <= 14.2.24

  • 15.0.0 <= Next.js <= 15.2.2

“免疫”版本（可以暂时松口气）：

  • Next.js = 12.3.5
  • Next.js >= 13.5.9
  • Next.js >= 14.2.25
  • Next.js >= 15.2.3

3. “抓虫”大作战：风险排查指南

3.1 云端“鹰眼”：绿盟科技 EASM 服务

绿盟科技外部攻击面管理服务（EASM）已经上线 CVE-2025-29927 漏洞风险的互联网资产排查功能！它可以像“鹰眼”一样，帮你快速找到暴露在互联网上的风险资产，并在威胁发生前发出预警并提供解决方案。

image.png

想体验一下？赶紧联系绿盟科技当地的同事，或者发送邮件到 [email protected]，安排一次深入的交流吧！

image.png

3.2 本地“侦探”：绿盟科技 EZ 工具

绿盟科技自动化渗透测试工具（EZ）支持 Next.js 应用的指纹识别，你可以直接使用 web 模块进行扫描检测，揪出潜在的风险点。

工具传送门：https://github.com/m-sec-org/EZ/releases

新手上路？先注册 M-SEC 社区（https://msec.nsfocus.com）申请证书才能使用哦：

image.png

4. “亡羊补牢”：漏洞防护指南

4.1 官方“补丁”：立即升级！

官方已经发布了新版本来修复这个漏洞，亡羊补牢，犹未迟也！赶紧升级到最新版本，堵上这个“后门”吧！

升级通道：https://github.com/vercel/next.js/releases

4.2 临时“抱佛脚”：应急措施

如果你暂时无法升级，可以采取一个临时的缓解措施：拦截所有包含 x-middleware-subrequest 标头的请求。虽然不能彻底解决问题，但也能起到一定的防护作用。

END

黑客/网络安全学习包

资料目录

  1. 成长路线图&学习规划

  2. 配套视频教程

  3. SRC&黑客文籍

  4. 护网行动资料

  5. 黑客必读书单

  6. 面试题合集

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

1.成长路线图&学习规划

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。


因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

2.视频教程

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。


因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

3.SRC&黑客文籍

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！

4.护网行动资料

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

5.黑客必读书单

**

**

6.面试题合集

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

更多内容为防止和谐，可以扫描获取~

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*********************************

猜你喜欢

目录

热门文章