Критическая уязвимость в Next.js: когда JavaScript становится подозреваемым

Критическая уязвимость в Next.js может стать большой проблемой для пользователей JavaScript.
Эксперты предупредили о существовании серьезной уязвимости в открытом фреймворке веб-разработки Next.js, которая позволяет злоумышленникам обойти проверку авторизации.
Исследователь в области безопасности Рашид А. из Zhero Web Security разместил подробный анализ своих находок, уязвимость зарегистрирована как CVE-2025-29927 и получила оценку серьезности 9.1 из 10 (критическая).
До версий 14.2.25 и 15.2.3 было возможно обойти проверку авторизации в Next.js, если она происходила в промежуточном ПО.

Next.js — это популярный фреймворк для React, используемый для создания веб-приложений, предлагающий такие функции, как серверный рендеринг (SSR), статическая генерация сайтов (SSG) и API маршруты.
Он широко используется для SEO-дружественных и высокопроизводительных сайтов, включая платформы электронной торговли и панели управления.
Next.js поддерживается компанией Vercel и используется крупными компаниями, такими как Netflix, TikTok и GitHub, что делает его одним из самых популярных фреймворков для современной веб-разработки. У него более 9 миллионов загрузок в неделю на npm.

Промежуточное ПО в Next.js — это функция, которая выполняется перед завершением запроса, позволяя разработчикам изменять запросы и ответы, обрабатывать аутентификацию или внедрять перенаправления. Эта функция полезна для таких задач, как аутентификация пользователей, тестирование A/B и локализация без воздействия на скорость загрузки страниц.
Также было отмечено, что только саморазмещенные версии с использованием 'next start' с 'output:standalone' подвержены этой уязвимости. Приложения, размещенные на Vercel или Nerlify, или развернутые в виде статических экспортов, не затрагиваются.
Идеально было бы обновиться до упомянутых выше версий, чтобы минимизировать возможность эксплуатации. Тем не менее, тем, кто не может немедленно установить исправление, рекомендуется предотвращать доступ внешних пользовательских запросов, содержащих заголовок x-middleware-subrequest, к приложению Next.js.
"Эта уязвимость существует уже несколько лет в исходном коде Next.js, эволюционируя вместе с промежуточным ПО и его изменениями в версиях" — заключил исследователь, подчеркнув, что Next.js "широко используется в критических сферах, от банковских услуг до блокчейна".
По материалам BleepingComputer