Next.js 中间件绕过漏洞

预览

Next.js 是由 Vercel 开发的基于 React 的现代 Web 应用框架，具备前后端一体的开发能力，广泛用于开发 Server-side Rendering (SSR) 和静态站点生成（SSG）项目。Next.js 支持传统的 Node.js 模式和基于边缘计算（Edge Function）的运行模式，后者适用于轻量、高性能的服务逻辑。

2025 年 3 月，社区研究人员披露了 Next.js 中存在一个认证绕过漏洞（CVE-2025-29927）。该漏洞成因是框架中用于标记中间件递归请求的特殊请求头 x-middleware-subrequest 可被用户伪造，导致中间件处理链被绕过，进而影响基于中间件实现的身份认证、重定向等关键安全逻辑。由于使用该框架的应用较多，如AI应用 chatbot-ui，建议受影响的用户根据实际情况评估风险，立即修复此漏洞。

影响版本：
11.1.4 <= next.js <= 13.5.6
14.0.0 <= next.js <= 14.2.24
15.0.0 <= next.js <= 15.2.2

修复版本：14.2.25、15.2.3

预览

鉴权绕过漏洞可能导致攻击者获取敏感信息，如用户数据、商业机密等；对系统数据进行未授权的修改或删除；执行恶意操作，如安装后门、发起进一步的网络攻击；甚至可能导致整个系统或网络的瘫痪。

预览

一、临时缓解方案
在无法立即升级的情况下，可考虑以下措施：
手动移除恶意头部：在业务逻辑入口处手动过滤所有外部请求中的 x-middleware-subrequest 请求头。
服务端网关过滤：通过 Nginx 或 CDN 网关统一剥离或拦截该请求头。
前置认证：将关键认证逻辑放置在业务逻辑中而非中间件，避免绕过。

二、升级修复方案
Next.js 官方已发布安全通告并发布了修复版本14.2.25、15.2.3，请尽快下载安全版本修复漏洞。