Next.js中间件权限绕过漏洞 （CVE-2025-29927）
内容提要
绿盟科技发布公告，修复Next.js中的CVE-2025-29927权限漏洞，攻击者可绕过权限控制访问受保护资源。用户应尽快升级到最新版本以防护此漏洞，并可使用绿盟工具进行检测和扫描。
关键要点
-
绿盟科技发布公告，修复Next.js中的CVE-2025-29927权限漏洞。
-
攻击者可通过操作x-middleware-subrequest请求头绕过权限控制，访问受保护资源。
-
用户应尽快升级到最新版本以防护此漏洞。
-
绿盟科技的自动化渗透测试工具已支持Next.js的漏洞风险检测。
-
绿盟科技的远程安全评估系统和其他安全产品已具备针对该漏洞的扫描能力。
-
绿盟科技提供了漏洞风险的互联网资产排查服务。
-
用户可通过拦截包含x-middleware-subrequest标头的请求进行临时缓解。
-
本安全公告不提供任何保证，用户需自行承担因使用信息而导致的后果。
延伸解读
漏洞影响范围
CVE-2025-29927漏洞影响多个Next.js版本，包括1.4到13.5.6、14.2.24及15.2.2等。用户需特别注意自己使用的版本，及时升级以避免潜在的安全风险。
临时防护措施
在无法立即升级的情况下，用户可以通过拦截包含x-middleware-subrequest标头的请求来进行临时防护。这种措施虽然不完美，但可以在短期内降低风险。
安全工具的使用
绿盟科技的自动化渗透测试工具和远程安全评估系统已支持对CVE-2025-29927的检测。用户应考虑使用这些工具进行漏洞扫描，以确保系统安全。
延伸问答
CVE-2025-29927漏洞是什么？
CVE-2025-29927是Next.js中的一个权限绕过漏洞，攻击者可以通过操作x-middleware-subrequest请求头绕过权限控制，访问受保护资源。
如何防护CVE-2025-29927漏洞？
用户应尽快升级到Next.js的最新版本以防护此漏洞，此外可以临时拦截包含x-middleware-subrequest标头的请求。
绿盟科技提供了哪些工具来检测此漏洞？
绿盟科技的自动化渗透测试工具和远程安全评估系统已支持CVE-2025-29927漏洞的检测和扫描。
哪些版本的Next.js受到CVE-2025-29927漏洞影响？
受影响的版本包括1.4到13.5.6、0.0到14.2.24和0.0到15.2.2等多个版本。
如果无法立即升级，用户可以采取什么临时措施？
用户可以通过拦截包含x-middleware-subrequest标头的请求来进行临时缓解。
绿盟科技对CVE-2025-29927漏洞的公告有什么免责声明？
绿盟科技的公告不提供任何保证，用户需自行承担因使用信息而导致的后果。
