Next.js授权绕过复现仓库公开

开发者 lirantal 在 GitHub 公开了 Next.js CVE-2025-29927 授权绕过的复现仓库，演示如何绕过中间件认证访问受保护接口。 据该仓库说明，在 Next.js 14 中向 x-middleware-subrequest 请求头嵌套 5 次 middleware，即可访问受保护的 /api/hello 接口；较早版本则可通过 _middleware.js 文件利用该漏洞。 该仓库称其复现的是 next 包中的这一漏洞。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。