PoC-CVE-2025-29927

この脆弱性とは

• このCVEは、Next.js 15.0.0において内部リクエストを処理するヘッダー x-middleware-subrequest の欠陥を報告するものです。攻撃者が認可ミドルウェアをバイパスし、保護されたルートにアクセスできる可能性があります。例えば、次のようなケースです。

実際の例

• Webアプリに、ログインユーザーのみがアクセスできる /dashboard ルートがあるとします。しかし、x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware というヘッダーを付けてリクエストを送信すると、認証なしでこのルートにアクセスできます。