CVE-2025-29927 - Next.js 中的关键安全漏洞

概述

CVE-2025-29927 是一个影响 Next.js 的关键安全漏洞，Next.js 是一个用于构建全栈 Web 应用程序的流行 React 框架。该漏洞允许攻击者绕过在 Next.js 中间件中实现的授权检查，可能授予对应用程序敏感区域（如 管理页面 或 用户仪表盘）的未授权访问。

漏洞详情

该漏洞源于对内部 x-middleware-subrequest 头的不当处理。通过构造包含此头的请求，攻击者可以 绕过中间件安全检查，从而跳过身份验证和授权机制。

受影响版本

• 早于 14.2.25 和 15.2.3 的 Next.js 版本 存在漏洞。

使用方法

git clone https://github.com/ThemeHackers/CVE-2025-29972
cd CVE-2025-29972
python3 -m venv .venv
source .venv/bin/activate
python3 exploit.py -h

快速使用

git clone https://github.com/ThemeHackers/CVE-2025-29972
cd CVE-2025-29972
python3 -m venv .venv
source .venv/bin/activate
python3 exploit.py --hostname HOSTNAME

⚠️ 注意： 请确保您的 Next.js 应用程序始终更新到最新的稳定版本，以防止安全风险。