CVE-2025-29927: كابوس الوسيطة (Middleware) في Next.js

هذا المستودع مُقدم لأغراض تعليمية فقط.
لم أكتشف هذه الثغرة - هذا شرح توضيحي لمشكلة أمنية تم الكشف عنها علنًا. استخدام هذه المعرفة لاستغلال الأنظمة الضعيفة دون إذن هو أمر غير قانوني وغير أخلاقي.

وهانحن نعود مرة أخرى...

إذا كنت تستخدم Next.js لتطبيقاتك الإنتاجية، توقف فورًا وتحقق من رقم الإصدار لديك. هناك ثغرة خطيرة في الوسيطة (Middleware) قد تترك نظام المصادقة بأكمله مفتوحًا على مصراعيه.

تم الكشف عن هذه الثغرة الحرجة بشكل مسؤول وتم تصحيحها، لذا أشارك هذا العرض التعليمي لمساعدة المطورين على فهم المشكلة وحماية أنظمتهم.

ما هي الثغرة؟

• معرف CVE: CVE-2025-29927
• درجة الخطورة: حرجة (CVSS 9.1) - هذا أسوأ ما يمكن، يا جماعة
• تاريخ الكشف: 21 مارس 2025
• الإصدارات المتأثرة:
  • Next.js 15.x قبل 15.2.3
  • Next.js 14.x قبل 14.2.25
  • Next.js 11.1.4 حتى 13.5.6 (نعم، كل هذه الإصدارات!)

التحليل الفني

المشكلة تكمن في كيفية معالجة Next.js للرأس الداخلي x-middleware-subrequest الخاص بـ HTTP. تم تصميم هذا الرأس لمنع التكرار في الوسيطة، لكن المهاجمين يمكنهم التلاعب به لتجاوز تنفيذ الوسيطة بالكامل.

فكر ماذا يعني ذلك - أي أمان يعتمد على الوسيطة قد يكون غير فعال:

• فحوصات المصادقة؟ تم تجاوزها.
• المسارات الخاصة بالمشرفين؟ مفتوحة بالكامل.
• تحديد معدل الطلبات؟ لا يعمل.
• حظر عناوين IP؟ غير فعال.

هناك تقارير عن استخدام هذه الثغرة في البرية للوصول إلى لوحات التحكم، وبيانات المستخدمين، وحتى المعلومات المالية. بعض المؤسسات تعرضت بياناتها الحساسة دون أن تعلم بذلك.

إثبات المفهوم

يتضمن هذا المستودع:

• تطبيق Next.js ضعيف يُظهر مصادقة الوسيطة النموذجية
• سكربت استغلال تعليمي يوضح كيفية عمل التجاوز
• طرق متعددة لتصحيح أنظمتك

أصلحها الآن!

الخيار الأفضل: التحديث فورًا

• تستخدم Next.js 15؟ → حدث إلى 15.2.3+
• على Next.js 14؟ → حدث إلى 14.2.25+
• عالق على إصدارات أقدم؟ → استخدم أحد الحلول البديلة أدناه

لا تستطيع التحديث فورًا؟ جرب هذه:

طريقة Nginx:

# Strips the problematic header
proxy_set_header x-middleware-subrequest "";

طريقة Apache:

# Does the same thing for Apache users
RequestHeader unset x-middleware-subrequest

طريقة Express.js:

// Quick middleware fix until you can properly update
app.use((req, res, next) => {
  delete req.headers['x-middleware-subrequest'];
  next();
});

دروس أمنية وموارد مفيدة

تؤكد هذه الثغرة على مبادئ أمنية مهمة:

1. ابقَ على اطلاع دائم بالتحديثات الأمنية
2. لا تثق أبدًا في الرؤوس القادمة من العميل
3. طبق الدفاع المتعمق - لا تعتمد فقط على الوسيطة

اطلع على هذه الموارد لبناء تطبيقات Next.js أكثر أمانًا:

• أفضل الممارسات الأمنية لـ Next.js
• دليل اختبار الأمان على الويب من OWASP
• أفضل الممارسات لأمان تطبيقات الويب

هذا المستودع يقدم شرحًا تقنيًا وعرضًا توضيحيًا لـ CVE-2025-29927 لأغراض تعليمية فقط. تستند جميع المعلومات إلى تفاصيل تم الكشف عنها علنًا وتم تصحيحها بشكل مناسب. إذا اكتشفت ثغرات أمنية في أي برنامج، اتبع دائمًا ممارسات الكشف المسؤول:

1. أبلغ المشكلة للبائع/المطور مباشرة
2. امنحهم وقتًا معقولًا لمعالجة المشكلة
3. لا تكشف علنًا حتى يتوفر تصحيح
4. لا تستغل الثغرات أبدًا على أنظمة دون إذن صريح

خواطر أخيرة

تظهر هذه الثغرة كيف أنه حتى الأطر المصممة جيدًا يمكن أن تحتوي على عيوب أمنية حرجة. كن يقظًا هناك، واجعل تحديث التبعيات جزءًا من سير عملك المعتاد.

لا تتردد في التواصل معي إذا كانت لديك أسئلة أو تحتاج مساعدة في تطبيق أي من هذه الإصلاحات!