CVE-2025-29927 - Next.js における重大なセキュリティ脆弱性

概要

CVE-2025-29927 は、フルスタック Web アプリケーション開発に広く用いられる React フレームワーク Next.js に影響する重大なセキュリティ脆弱性です。この欠陥により、攻撃者は Next.js のミドルウェアに実装された認可チェックを回避し、管理ページやユーザーダッシュボードなどの重要なアプリケーション領域への不正アクセスが可能になります。

脆弱性の詳細

この脆弱性は、内部的な x-middleware-subrequest ヘッダーの不適切な処理に起因します。攻撃者はこのヘッダーを含むリクエストを細工することで、ミドルウェアのセキュリティチェックをバイパスし、認証および認可の仕組みを事実上スキップすることができます。

影響を受けるバージョン

• Next.js 14.2.25 未満および 15.2.3 未満のバージョンが影響を受けます。

使用方法

git clone https://github.com/ThemeHackers/CVE-2025-29972
cd CVE-2025-29972
python3 -m venv .venv
source .venv/bin/activate
python3 exploit.py -h

クイック使用

git clone https://github.com/ThemeHackers/CVE-2025-29972
cd CVE-2025-29972
python3 -m venv .venv
source .venv/bin/activate
python3 exploit.py --hostname HOSTNAME

---

⚠️ 注意: Next.js アプリケーションは常に最新の安定版に更新し、セキュリティリスクを防止するようにしてください。