Kerentanan kritis dalam kerangka kerja berikutnya. Posting ini merangkum apa yang kita ketahui tentang CVE-2025-29927, bagaimana Anda dapat mengurangi kerentanan, dan bagaimana Acunetix dapat membantu Anda mendeteksi dan mengkonfirmasi risiko organisasi Anda.
Apa yang Perlu Anda Ketahui Tentang CVE-2025-29927
- Kerentanan bypass otorisasi jarak jauh yang diidentifikasi sebagai CVE-2025-29927 dikonfirmasi di Next.js, salah satu kerangka kerja React paling populer yang digunakan untuk membangun aplikasi web.
- Kerentanan memungkinkan penyerang untuk mem -bypass fungsionalitas selanjutnya. JS dalam suatu aplikasi, termasuk fungsi keamanan kritis yang umum digunakan seperti otentikasi dan otorisasi.
- Pada 24 Maret 2025, Acunetix memiliki pemeriksaan keamanan aktif untuk mendeteksi dan melaporkan versi yang dapat dieksploitasi.
- Kerentanan mempengaruhi versi berikutnya.js berikut:
- Next.js 11.1.4 hingga 13.5.6 (tidak ditandingi)
- Next.js 14.x sebelum 14.2.25
- Next.js 15.x sebelum 15.2.3
- Meningkatkan ke versi yang tidak mampu adalah satu-satunya perbaikan yang dijamin. Pemblokiran WAF tingkat proxy dapat bekerja sementara tetapi tidak direkomendasikan dalam jangka panjang.
Pahami risiko bypass middleware middleware Anda berikutnya
Kerentanan memungkinkan penyerang untuk sepenuhnya melewati fungsionalitas middleware dengan memasukkan yang dibuat khusus x-middleware-subrequest header dalam permintaan mereka. Anda dapat menganggap middleware sebagai rantai pemrosesan yang memungkinkan modul perangkat lunak memeriksa, memodifikasi, atau mengubah permintaan HTTP sebelum mencapai penangan kode terakhirnya. Ini adalah tempat alami untuk mengimplementasikan hal -hal seperti otentikasi, dan satu pola yang sangat umum adalah mengarahkan ulang middleware ke halaman login jika tidak ada cookie otentikasi yang valid yang ditemukan.
Kerentanan ini sangat memprihatinkan karena middleware selanjutnya. JS biasanya digunakan untuk fungsi keamanan kritis seperti otentikasi, otorisasi, penulisan ulang jalur, dan mengimplementasikan header keamanan. Semua ini dapat dilakukan dengan sepele oleh penyerang hanya dengan menggunakan header HTTP khusus.
Apakah Anda rentan terhadap bypass middleware berikutnya?
Jika jawaban Anda untuk kedua pertanyaan berikut adalah “ya”, Aplikasi Anda rentan kecuali ditambal:
- Apakah Anda mengandalkan middleware berikutnya.js untuk kontrol keamanan?
- Apakah Anda menjalankan aplikasi selanjutnya yang diselenggarakan sendiri menggunakan aplikasi
next startdenganoutput: "standalone'?
Aplikasi sangat berisiko jika:
- Anda menggunakan middleware untuk pemeriksaan otentikasi atau otorisasi
- Anda mengandalkan middleware untuk mengimplementasikan header keamanan seperti Kebijakan Keamanan Konten (CSP), yang digunakan untuk menentukan batasan di mana sumber daya diizinkan untuk dimuat
- Anda menggunakan middleware untuk penulisan ulang jalur untuk membatasi akses ke rute tertentu
Aplikasi yang di -host di Vercel atau Netlify tidak terpengaruhkarena platform ini telah menerapkan mitigasi di lapisan tepi mereka. Aplikasi yang digunakan sebagai ekspor statis (di mana middleware tidak dijalankan) juga dijalankan tidak terpengaruh.
Jika Anda tidak tahu detail penggunaan Anda berikutnya.
Bagaimana kerentanan middleware berikutnya
Next.js Middleware menggunakan header internal yang disebut x-middleware-subrequest Untuk mencegah permintaan rekursif memicu loop tak terbatas. Kerentanan keamanan memungkinkan penyerang memanipulasi header ini untuk menipu aplikasi berikutnya.js untuk melewatkan eksekusi middleware sepenuhnya.
Untuk versi yang berbeda dari Next.js, eksploitasi bekerja sedikit berbeda:
- Untuk versi yang lebih tua (pra-12.2):
x-middleware-subrequest: pages/_middleware - Untuk versi modern:
x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware
(atausrc/middleware:src/middleware:src/middleware:src/middleware:src/middlewareJika menggunakansrcdirektori)
Ketika header ini hadir dengan nilai yang sesuai, middleware sepenuhnya dilewati, memungkinkan permintaan untuk mencapai tujuan aslinya tanpa pemeriksaan keamanan atau modifikasi yang akan diterapkan oleh middleware.
Bagaimana Invicti Dast Product Deteksi CVE-2025-29927
Logika Deteksi Aktif (Acunetix)
Tim peneliti keamanan Invicti telah mengembangkan cek untuk mesin Acunetix untuk mendeteksi jika aplikasi Anda rentan terhadap CVE-2025-29927. Pada hari Senin, 24 Maret 2025, cek ini hidup untuk semua pelanggan Acunetix Premium.
Beginilah cara pemeriksaan aktif bekerja langkah demi langkah:
- Identifikasi penggunaan middleware selanjutnya: Cek pertama kali mencari tanda -tanda Telltale dari Middleware Next.js, khususnya pengalihan 307 di mana badan respons sama dengan nilai header lokasi. Pola ini unik untuk redirect middleware next.js.
- Verifikasi Kehadiran Kerangka Selanjutnya: Konfirmasi aplikasi menggunakan next.js dengan memeriksa
x-powered-by: Next.jsheader dalam tanggapan. - Tes dengan muatan bypass: Mekanisme deteksi mencoba muatan bypass yang berbeda berdasarkan potensi Versi Next.js:
- Untuk versi yang lebih baru (13.2.0+):
middleware:middleware:middleware:middleware:middleware(dansrcvariasi) - Untuk versi yang lebih tua (pra-12.2):
pages/_middleware - Untuk versi menengah (12.2 hingga 13.2.0):
middleware
- Untuk versi yang lebih baru (13.2.0+):
- Validasi melalui kontras: Untuk menghindari positif palsu, tes melakukan beberapa pemeriksaan validasi:
- Kirim permintaan dengan header bypass potensial dan periksa apakah mengembalikan 200 OK.
- Kirim permintaan kontrol dengan header yang sedikit dimodifikasi, seperti
Y-Middleware-Subrequestuntuk mengkonfirmasi itu masih mengarahkan kembali (307). - Kirim permintaan lain dengan nilai tidak valid untuk mengkonfirmasi perilaku yang tepat.
- Ulangi bypass yang berhasil untuk memastikan konsistensi.
- Konfirmasikan kerentanan: Hanya setelah semua langkah validasi lulus adalah kerentanan yang dikonfirmasi, mengurangi risiko positif palsu.
Deteksi pasif melalui analisis lalu lintas dengan SCA dinamis (Invicti)
Kerentanan terdeteksi melalui pemantauan pasif lalu lintas web selama pemindaian keamanan tanpa membuat permintaan aktif. Invicti Enterprise menggunakan teknik ini dengan itu Database Kerentanan untuk mendeteksi cacat. Teknik ini mencari x-powered-by: Next.js Header in Responses, yang mengonfirmasi aplikasi menggunakan Next.js. Kehadiran versi rentan selanjutnya dikonfirmasi dengan mengevaluasi next.version Fungsi dalam konteks javascript browser untuk mengekstrak versi yang tepat
Kami kemudian membandingkan nilai ini dengan basis data kami yang terus diperbarui dari CVE yang diketahui dan tanda tangan deteksi jaringan untuk menentukan apakah versi yang tidak aman dari Next.js telah ditemui.
Pada hari Selasa, 25 Maret 2025, cek ini hidup untuk semua pelanggan Invicti Enterprise, Invicti Standard, dan Acunetix 360.
Langkah mitigasi untuk CVE-2025-29927
- Perbarui segera:
- Untuk next.js 15.x: Perbarui ke ≥ 15.2.3
- Untuk next.js 14.x: Perbarui ke ≥ 14.2.25
- Untuk next.js 13.x: Perbarui ke ≥ 13.5.9
- Untuk next.js 12.x: Perbarui ke ≥ 12.3.5
- Jika memperbarui tidak mungkin segera:
- Memblokir
x-middleware-subrequestheader di level tepi/proxy Anda (bukan di middleware itu sendiri). - Pengguna CloudFlare dapat mengaktifkan aturan WAF yang dikelola yang memblokir serangan ini. Ketahuilah bahwa Cloudflare memiliki Mengubah aturan WAF ini menjadi opt-in Setelah laporan kerangka otentikasi pihak ke -3 terkena dampak. Kami menyarankan Anda fokus pada peningkatan Next.js.
- Memblokir
Keamanan Invicti ingin mengakui Rachid Allam dan Yasser Allam untuk aslinya Penelitian dan Tulisan Dari temuan mereka, serta tim internal kami yang bekerja untuk mengeluarkan cek kepada pelanggan dalam satu hari kerja.
Tim keamanan kami terus memantau situasi ini dan akan memperbarui karena lebih banyak informasi tersedia.
Dapatkan konten terbaru tentang keamanan web
di kotak masuk Anda setiap minggu.
Penulis
BOGDAN CALIN
Pengembang Acunetix dan agen teknologi secara teratur berkontribusi pada blog. Semua pengembang Acunetix datang dengan pengalaman bertahun -tahun dalam bidang keamanan web.
ADVERTISEMENT:
Halo, para pencinta slot! pernahkah mendengar istilah “slot gacor”? Kalau tidak, siap-siap jatuh cinta sama konsep ini. raja slot adalah mesin slots yang sering memberi kemenangan. Ya, slot-slot ini bisa dibilang adalah jagoannya buat bawa pulang cuan. any way, cemana sih caranya jumpain slot gaco yang tepat? Santai Bro, kita beri tenang saja di tempat ini
Permainan tergaco saat ini hanya satu berada Indonesia yaitu yang menyediakan return on Investment terbaik
Daftar hanya di :
Informasi mengenai KING SLOT, Segera Daftar Bersama king selot terbaik dan terpercaya no satu di Indonesia. Boleh mendaftar melalui sini king slot serta memberikan hasil kembali yang paling tinggi saat sekarang ini hanyalah KING SLOT atau Raja slot paling gacor, gilak dan gaco saat sekarang di Indonesia melalui program return tinggi di kingselot serta pg king slot
slot demo gacor
slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
akun demo slot gacor
akun demo slot gacor permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
akun slot demo gacor
akun slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
akun demo slot pragmatic
akun demo slot pragmatic permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
akun slot demo pragmatic
akun slot demo pragmatic permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
akun slot demo
akun slot demo permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
akun demo slot
akun demo slot permainan paling top dan garansi imbal balik hasil besar bersama kdwapp.com
slot demo gacor
slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
akun demo slot gacor
akun demo slot gacor permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
akun slot demo gacor
akun slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
akun demo slot pragmatic
akun demo slot pragmatic permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
akun slot demo pragmatic
akun slot demo pragmatic permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
akun slot demo
akun slot demo permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
akun demo slot
akun demo slot permainan paling top dan garansi imbal balik hasil besar bersama jebswagstore.com
slot demo gacor
slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
akun demo slot gacor
akun demo slot gacor permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
akun slot demo gacor
akun slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
akun demo slot pragmatic
akun demo slot pragmatic permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
akun slot demo pragmatic
akun slot demo pragmatic permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
akun slot demo
akun slot demo permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
akun demo slot
akun demo slot permainan paling top dan garansi imbal balik hasil besar bersama demoslotgacor.pro
slot demo gacor
slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
akun demo slot gacor
akun demo slot gacor permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
akun slot demo gacor
akun slot demo gacor permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
akun demo slot pragmatic
akun demo slot pragmatic permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
akun slot demo pragmatic
akun slot demo pragmatic permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
akun slot demo
akun slot demo permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
akun demo slot
akun demo slot permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
situs slot terbaru
situs slot terbaru permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
slot terbaru
slot terbaru permainan paling top dan garansi imbal balik hasil besar bersama situsslotterbaru.net
lembagatoto88 permainan paling top dan garansi imbal balik hasil besar bersama lembagatoto88.com
lumbung888 permainan paling top dan garansi imbal balik hasil besar bersama lumbung888.biz
anadototo88 permainan paling top dan garansi imbal balik hasil besar bersama anadototo88.org
mataramtoto88 permainan paling top dan garansi imbal balik hasil besar bersama mataramtoto88.com
mawartoto88 permainan paling top dan garansi imbal balik hasil besar bersama mawartoto88.biz
maxim88 permainan paling top dan garansi imbal balik hasil besar bersama maxim88.org
mpovegas88 permainan paling top dan garansi imbal balik hasil besar bersama mpovegas88.com
nagacc88 permainan paling top dan garansi imbal balik hasil besar bersama nagacc88.com
neng88 permainan paling top dan garansi imbal balik hasil besar bersama neng88.biz
nibung888 permainan paling top dan garansi imbal balik hasil besar bersama nibung888.biz
paristogel88 permainan paling top dan garansi imbal balik hasil besar bersama paristogel88.info
ribut88 permainan paling top dan garansi imbal balik hasil besar bersama ribut88.net
sebat777 permainan paling top dan garansi imbal balik hasil besar bersama sebat777.info
sebat88 permainan paling top dan garansi imbal balik hasil besar bersama sebat88.info
singa88 permainan paling top dan garansi imbal balik hasil besar bersama singa88.biz
texas888 permainan paling top dan garansi imbal balik hasil besar bersama texas888.asia
vertu777 permainan paling top dan garansi imbal balik hasil besar bersama vertu777.org
wks88 permainan paling top dan garansi imbal balik hasil besar bersama wks88.org
wortel88 permainan paling top dan garansi imbal balik hasil besar bersama wortel88.net
yabos888 permainan paling top dan garansi imbal balik hasil besar bersama yabos888.net
yoktogel88 permainan paling top dan garansi imbal balik hasil besar bersama yoktogel88.asia
agam88 permainan paling top dan garansi imbal balik hasil besar bersama agam88.asia
bangkittoto permainan paling top dan garansi imbal balik hasil besar bersama bangkittoto.net
bangor88 permainan paling top dan garansi imbal balik hasil besar bersama bangor88.com
bangor88 permainan paling top dan garansi imbal balik hasil besar bersama bangor88.info
bangor88 permainan paling top dan garansi imbal balik hasil besar bersama bangor88.net
bangor88 permainan paling top dan garansi imbal balik hasil besar bersama bangor88.org
belanjatoto permainan paling top dan garansi imbal balik hasil besar bersama belanjatoto.org
bisnis88 permainan paling top dan garansi imbal balik hasil besar bersama bisnis88.biz
blibli88 permainan paling top dan garansi imbal balik hasil besar bersama blibli88.com
blibli88 permainan paling top dan garansi imbal balik hasil besar bersama blibli88.info
blibli88 permainan paling top dan garansi imbal balik hasil besar bersama blibli88.net
blibli88 permainan paling top dan garansi imbal balik hasil besar bersama blibli88.org
btstoto88 permainan paling top dan garansi imbal balik hasil besar bersama btstoto88.com
btstoto88 permainan paling top dan garansi imbal balik hasil besar bersama btstoto88.info
btstoto88 permainan paling top dan garansi imbal balik hasil besar bersama btstoto88.net
btstoto88 permainan paling top dan garansi imbal balik hasil besar bersama btstoto88.org
cendanatoto88 permainan paling top dan garansi imbal balik hasil besar bersama cendanatoto88.com
cupang88 permainan paling top dan garansi imbal balik hasil besar bersama cupang88.biz
cupangjp88 permainan paling top dan garansi imbal balik hasil besar bersama cupangjp88.com
danatoto88 permainan paling top dan garansi imbal balik hasil besar bersama danatoto88.biz
danatoto88slot permainan paling top dan garansi imbal balik hasil besar bersama danatoto88slot.net
davo888 permainan paling top dan garansi imbal balik hasil besar bersama davo888.biz
dewasurga888 permainan paling top dan garansi imbal balik hasil besar bersama dewasurga888.biz
dhx88 permainan paling top dan garansi imbal balik hasil besar bersama dhx88.biz
dingdongtogel88 permainan paling top dan garansi imbal balik hasil besar bersama dingdongtogel88.biz
egp888 permainan paling top dan garansi imbal balik hasil besar bersama egp888.biz
eropa88 permainan paling top dan garansi imbal balik hasil besar bersama eropa88.biz
forwin777 permainan paling top dan garansi imbal balik hasil besar bersama forwin777.biz
forwin88 permainan paling top dan garansi imbal balik hasil besar bersama forwin88.net
gacor222 permainan paling top dan garansi imbal balik hasil besar bersama gacor222.biz
galaxy777 permainan paling top dan garansi imbal balik hasil besar bersama galaxy777.asia
garuda88 permainan paling top dan garansi imbal balik hasil besar bersama garuda88.biz
gaul88 permainan paling top dan garansi imbal balik hasil besar bersama gaul88.biz
glowin888 permainan paling top dan garansi imbal balik hasil besar bersama glowin888.biz
gopay88 permainan paling top dan garansi imbal balik hasil besar bersama gopay88.biz
harum88 permainan paling top dan garansi imbal balik hasil besar bersama harum88.biz
harumtoto permainan paling top dan garansi imbal balik hasil besar bersama harumtoto.net
hiu88 permainan paling top dan garansi imbal balik hasil besar bersama hiu88.biz
hiutoto permainan paling top dan garansi imbal balik hasil besar bersama hiutoto.biz
hoki117 permainan paling top dan garansi imbal balik hasil besar bersama hoki117.net
ibetslot88 permainan paling top dan garansi imbal balik hasil besar bersama ibetslot88.biz
idhoki888 permainan paling top dan garansi imbal balik hasil besar bersama idhoki888.com
indosport999 permainan paling top dan garansi imbal balik hasil besar bersama indosport999.net
jackpot10 permainan paling top dan garansi imbal balik hasil besar bersama jackpot10.net
jago77 permainan paling top dan garansi imbal balik hasil besar bersama jago77.biz
jet88 permainan paling top dan garansi imbal balik hasil besar bersama jet88.biz
jinbei88 permainan paling top dan garansi imbal balik hasil besar bersama jinbei88.biz
juliet88 permainan paling top dan garansi imbal balik hasil besar bersama juliet88.org
kakekslot88 permainan paling top dan garansi imbal balik hasil besar bersama kakekslot88.asia
kenzo118 permainan paling top dan garansi imbal balik hasil besar bersama kenzo118.biz
kiw88 permainan paling top dan garansi imbal balik hasil besar bersama kiw88.biz
lazada88 permainan paling top dan garansi imbal balik hasil besar bersama lazada88.biz
mangga2bet88 permainan paling top dan garansi imbal balik hasil besar bersama mangga2bet88.com
mental88 permainan paling top dan garansi imbal balik hasil besar bersama mental88.org
nenektogel88 permainan paling top dan garansi imbal balik hasil besar bersama nenektogel88.com
obc88 permainan paling top dan garansi imbal balik hasil besar bersama obc88.net
parsel88 permainan paling top dan garansi imbal balik hasil besar bersama parsel88.com
pasar88 permainan paling top dan garansi imbal balik hasil besar bersama pasar88.biz
pilar100 permainan paling top dan garansi imbal balik hasil besar bersama pilar100.net
power88 permainan paling top dan garansi imbal balik hasil besar bersama power88.biz
pragmatic7777 permainan paling top dan garansi imbal balik hasil besar bersama pragmatic7777.com
pragmaticid88 permainan paling top dan garansi imbal balik hasil besar bersama pragmaticid88.com
pragmaticid88 permainan paling top dan garansi imbal balik hasil besar bersama pragmaticid88.info
pragmaticid88 permainan paling top dan garansi imbal balik hasil besar bersama pragmaticid88.net
pragmaticid88 permainan paling top dan garansi imbal balik hasil besar bersama pragmaticid88.org
premantoto88 permainan paling top dan garansi imbal balik hasil besar bersama premantoto88.com
pucuk88 permainan paling top dan garansi imbal balik hasil besar bersama pucuk88.biz
pucuktoto permainan paling top dan garansi imbal balik hasil besar bersama pucuktoto.biz
pusat88 permainan paling top dan garansi imbal balik hasil besar bersama pusat88.biz
raja228 permainan paling top dan garansi imbal balik hasil besar bersama raja228.biz
rajabandot88 permainan paling top dan garansi imbal balik hasil besar bersama rajabandot88.biz
rajapanen88 permainan paling top dan garansi imbal balik hasil besar bersama rajapanen88.net
rogtoto88 permainan paling top dan garansi imbal balik hasil besar bersama rogtoto88.net
sdtoto88 permainan paling top dan garansi imbal balik hasil besar bersama sdtoto88.biz
semangat88 permainan paling top dan garansi imbal balik hasil besar bersama semangat88.biz
sensasi555 permainan paling top dan garansi imbal balik hasil besar bersama sensasi555.net
sensasi88 permainan paling top dan garansi imbal balik hasil besar bersama sensasi88.biz
simenang88slot permainan paling top dan garansi imbal balik hasil besar bersama simenang88slot.com
slotter999 permainan paling top dan garansi imbal balik hasil besar bersama slotter999.net
slottoto88 permainan paling top dan garansi imbal balik hasil besar bersama slottoto88.org
