CVE-2025-29927 报告

概述

CVE-2025-29927 是 Next.js 中间件中的一个安全漏洞，允许攻击者通过修改特定的 HTTP 请求头来绕过身份验证。

漏洞利用

攻击者可以发送带有 x-middleware-subrequest: middleware 请求头的请求来绕过身份验证。

检测

检测策略包括：

• 监控 HTTP 请求头中可疑的 x-middleware-subrequest 值。
• 实施 Sigma 规则以检测未经授权的请求。
• 在 Next.js 应用程序中为中间件操作启用日志记录。

缓解措施

• 将 Next.js 升级到最新的已修复版本。
• 实施严格的请求头验证。
• 在 API 层强制执行身份验证，而不是仅依赖中间件。

参考

• CVE 详情

我们能否使用 Sigma 规则检测 CVE-2025-29927？ ✅ 可以，但前提是日志环境能够正确捕获 HTTP 请求头。如果 Web 服务器（例如 Apache、Nginx）记录了 x-middleware-subrequest 请求头，Sigma 规则将成功检测到该攻击。

🚨 不可以，如果日志中不包含此请求头。如果 Web 服务器未在日志中记录 HTTP 请求头，那么即使规则编写正确，Sigma 规则也无法检测到该漏洞利用行为。

📌 建议：在依赖 Sigma 规则进行检测之前，请确保日志配置包含完整的 HTTP 请求头。