KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-29927 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Next.js 是一个用于构建全栈 Web 应用程序的 React 框架。2025年3月，官方披露 CVE-2025-29927 Next.js 中间件权限绕过漏洞。如果授权检查发生在Next.js 中间件中，攻击者可构造恶意请求绕过相关权限校验。官方已发布安全更新，建议升级至安全版本。
安全版本
Next.js 15.2.3
Next.js 14.2.25
Next.js 13.5.9
Next.js 12.3.5
影响范围
应用：vercel next.js（影响面 Up to (excluding) 12.3.5）
应用：vercel next.js（影响面 Up to (excluding) 13.5.9）
应用：vercel next.js（影响面 Up to (excluding) 14.2.25）
应用：vercel next.js（影响面 Up to (excluding) 15.2.3）
系统：anolis_os_23 firefox（影响面 Up to (excluding) 128.9.0-1）
解决方案
1、官方已发布安全更新，建议升级至安全版本。
2、若无法升级，建议结合具体业务逻辑阻断包含带有 x-middleware-subrequest heade头的请求
参考信息
http://www.openwall.com/lists/oss-security/2025/03/23/3
http://www.openwall.com/lists/oss-security/2025/03/23/4
https://github.com/vercel/next.js/commit/52a078da3884efe6501613c7834a3d02a91676d2
https://github.com/vercel/next.js/commit/5fd3ae8f8542677c6294f32d18022731eab6fe48
https://github.com/vercel/next.js/releases/tag/v12.3.5
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。