یک آسیب‌پذیری امنیتی بحرانی در فریم‌ورک Next.js React کشف شده که می‌تواند تحت شرایط خاصی برای دور زدن بررسی‌های مجوزدهی مورد سوءاستفاده قرار گیرد. این آسیب‌پذیری با شناسه CVE-2025-29927 ثبت شده و امتیاز CVSS آن ۹.۱ از ۱۰ است. بر اساس اعلام Next.js، این فریم‌ورک از هدر داخلی x-middleware-subrequest برای جلوگیری از درخواست‌های بازگشتی که باعث حلقه‌های بی‌نهایت می‌شوند استفاده می‌کند، اما امکان رد کردن اجرای میان‌افزار (middleware) وجود داشته که می‌تواند به درخواست‌ها اجازه دهد بررسی‌های حیاتی مانند اعتبارسنجی کوکی‌های مجوزدهی را قبل از رسیدن به مسیرها نادیده بگیرند.
این نقص در نسخه‌های ۱۲.۳.۵، ۱۳.۵.۹، ۱۴.۲.۲۵ و ۱۵.۲.۳ برطرف شده است. محقق امنیتی راشد علام که این آسیب‌پذیری را کشف و گزارش کرده، جزئیات فنی بیشتری از این نقص منتشر کرده که ضرورت اعمال سریع رفع‌نقص‌ها را دوچندان می‌کند. شرکت JFrog اعلام کرده که این آسیب‌پذیری به مهاجمان اجازه می‌دهد به راحتی بررسی‌های مجوزدهی انجام شده در میان‌افزار Next.js را دور بزنند و احتمالاً به صفحات حساس مخصوص مدیران یا کاربران با دسترسی بالا دست یابند.
کلمات کلیدی : آسیب‌پذیری امنیتی, Next.js, CVE-2025-29927, میان‌افزار, مجوزدهی, React
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.