CVE-2025-29927：Next.js 中间件噩梦

本仓库仅供教育目的使用。 我没有发现这个漏洞——这是对已公开披露安全问题的演示和说明。未经授权利用此知识攻击易受攻击的系统是非法的且不道德的。

又来了...

如果你在生产应用中使用Next.js，立即停止你正在做的事并检查你的版本号。有一个严重的中间件漏洞可能导致你的整个认证系统门户大开。

这个关键漏洞已经过负责任的披露和修复，因此我分享这个教育演示以帮助开发者理解该问题并保护他们的系统。

漏洞是什么？

• CVE ID：CVE-2025-29927
• 严重性：严重（CVSS 9.1）—— 伙计们，这已经是最糟糕的情况了
• 披露时间：2025年3月21日
• 受影响版本：
  • Next.js 15.x 版本低于 15.2.3
  • Next.js 14.x 版本低于 14.2.25
  • Next.js 11.1.4 至 13.5.6 版本（是的，这么多版本！）

技术解析

问题在于 Next.js 如何处理内部 x-middleware-subrequest HTTP 标头。这个标头本意是防止中间件递归，但攻击者可以操纵它完全绕过中间件的执行。

想想这意味着什么——任何基于中间件的安全措施都可能失效：

• 认证检查？绕过。
• 管理员专用路由？完全开放。
• 速率限制？无效。
• IP 封锁？无效。

已有报告称该漏洞在野外被用于访问管理员后台、用户数据甚至财务信息。一些组织在不知情的情况下暴露了敏感数据。

概念验证

本仓库包含：

• 一个存在漏洞的 Next.js 应用，展示典型的中间件认证
• 一个教育性漏洞利用脚本，展示绕过的工作原理
• 多种修补系统的方法

立即修复！

最佳选项：尽快更新

• 使用 Next.js 15？→ 更新到 15.2.3+
• 使用 Next.js 14？→ 更新到 14.2.25+
• 被困在旧版本？→ 使用以下某种变通方案

无法立即更新？尝试以下方法：

Nginx 方式：

# Strips the problematic header
proxy_set_header x-middleware-subrequest "";

Apache 路线：

# Does the same thing for Apache users
RequestHeader unset x-middleware-subrequest

Express.js 方法：

// Quick middleware fix until you can properly update
app.use((req, res, next) => {
  delete req.headers['x-middleware-subrequest'];
  next();
});

安全经验与有用资源

这个漏洞强化了重要的安全原则：

1. 紧跟安全更新
2. 永远不要信任来自客户端的请求头
3. 实施纵深防御——不要仅依赖中间件

查看这些资源，构建更安全的 Next.js 应用：

• Next.js 安全最佳实践
• OWASP Web 安全测试指南
• Web 应用程序安全最佳实践

本仓库仅出于教育目的提供 CVE-2025-29927 的技术解释和演示。所有信息均基于已适当修补的公开披露细节。如果你在任何软件中发现安全漏洞，请始终遵循负责任的披露实践：

1. 直接向供应商/维护者报告问题
2. 给予他们合理的时间处理问题
3. 在补丁可用之前不要公开披露
4. 未经明确许可，切勿在系统上利用漏洞

最后的想法

这个漏洞表明即使是精心设计的框架也可能存在关键的安全缺陷。保持警惕，并将更新依赖项作为日常工作流程的一部分。

如有疑问或需要任何这些修复的帮助，请随时联系！