NextJS 超瓜皮漏洞，赶紧升级！
{{ getUsernameByUid(651) }}
发布{{ getTimeInfo('2025-03-24 21:49:10') }}
#0
{{ getUsernameByUid(651) }}
发布{{ getTimeInfo('2025-03-24 21:49:10') }}
#0
Downloading 41.23 MB/41.23 MB, donedependencies:- next 15.1.0+ next 15.2.3Done in 4m 38.6sNextJS auth middware 漏洞
漏洞概述漏洞编号：CVE-2025-29927 / GHSA-f82v-jwr5-mffw漏洞类型：授权绕过（ CWE-285 ）严重级别：严重（ Critical ）CVSS 评分：9.1/10.0影响版本：
11.1.4 至 13.5.614.0 至 14.2.2415.0 至 15.2.2
漏洞简述此漏洞允许攻击者通过添加特定 HTTP 请求头（ x-middleware-subrequest ）完全绕过在 Next.js 中间件中实现的授权检查，从而获取对受保护资源的未授权访问。由于许多 Next.js 应用仅在中间件层实现授权逻辑，这使得该漏洞的影响范围极广且危害严重。
虽然 Vercel 修了但是没有完全修，self host 的 nextjs 用户还是会遇到问题
Cloudflare 和 Vercel CEO 直接推特中门互狙。。。
{{ getUsernameByUid(14506) }}
发布{{ getTimeInfo('2025-03-24 22:22:10') }}
#1
{{ getUsernameByUid(14506) }}
发布{{ getTimeInfo('2025-03-24 22:22:10') }}
#1
升级是一方面，另一方面也是个提醒，健壮的 app 应该避免只在一个 layer 做认证和安全保护
https://strobes.co/blog/understanding-next-js-vulnerability/#Key_Security_Lessons_From_Nextjs_Vulnerability
https://strobes.co/blog/understanding-next-js-vulnerability/#Key_Security_Lessons_From_Nextjs_Vulnerability
{{ getUsernameByUid(1359) }}
发布{{ getTimeInfo('2025-03-24 23:37:53') }}
#2
{{ getUsernameByUid(1359) }}
发布{{ getTimeInfo('2025-03-24 23:37:53') }}
#2
牛批啊 ...
{{ getUsernameByUid(4899) }}
发布{{ getTimeInfo('2025-03-25 00:04:55') }}
#3
{{ getUsernameByUid(4899) }}
发布{{ getTimeInfo('2025-03-25 00:04:55') }}
#3
nextjs 的 middleware 设计真的文明用语，第一次见只能有一个 middleware 的框架
{{ getUsernameByUid(10759) }}
发布{{ getTimeInfo('2025-03-25 08:06:19') }}
#4
{{ getUsernameByUid(10759) }}
发布{{ getTimeInfo('2025-03-25 08:06:19') }}
#4
https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware
看了下漏洞分析...确实瓜皮
看了下漏洞分析...确实瓜皮
{{ getUsernameByUid(3770) }}
发布{{ getTimeInfo('2025-03-25 08:46:32') }}
#5
{{ getUsernameByUid(3770) }}
发布{{ getTimeInfo('2025-03-25 08:46:32') }}
#5
而且是只为 edge runtime 设计的 middleware ，就离谱，github 上有几个 pr 和 discussions 吵这事
{{ getUsernameByUid(2289) }}
发布{{ getTimeInfo('2025-03-25 09:13:01') }}
#6
{{ getUsernameByUid(2289) }}
发布{{ getTimeInfo('2025-03-25 09:13:01') }}
#6
吓死人
{{ getUsernameByUid(7119) }}
发布{{ getTimeInfo('2025-03-25 09:28:27') }}
#7
{{ getUsernameByUid(7119) }}
发布{{ getTimeInfo('2025-03-25 09:28:27') }}
#7
看来我最初的预感是正确的
最开始用 nextjs 我就觉得这 middleware 不靠谱
最后还是把 auth 步骤都放到 layout 里
麻烦是麻烦了点，每个 path 都要写一遍同样的 auth 逻辑，
但把 cookie 都自己处理了就不必担心这种漏洞了
最开始用 nextjs 我就觉得这 middleware 不靠谱
最后还是把 auth 步骤都放到 layout 里
麻烦是麻烦了点，每个 path 都要写一遍同样的 auth 逻辑，
但把 cookie 都自己处理了就不必担心这种漏洞了
{{ getUsernameByUid(2783) }}
发布{{ getTimeInfo('2025-03-25 10:20:03') }}
#8
{{ getUsernameByUid(2783) }}
发布{{ getTimeInfo('2025-03-25 10:20:03') }}
#8
twitter 都炸开了。。。也是醉了。。。
{{ getUsernameByUid(7288) }}
发布{{ getTimeInfo('2025-03-25 10:22:59') }}
#9
{{ getUsernameByUid(7288) }}
发布{{ getTimeInfo('2025-03-25 10:22:59') }}
#9
没记错的话 middleware 中的 req/res 和别的接口 req/res 对象还有差异，我是懒得看文档了解什么差异了（毕竟 server 端的 req/res 和客户端的 req/res 也有差异我也懒得看。。。），然后鉴权写到单独的文件里面在各个接口都引了一遍。。。完美规避问题[doge]
{{ getUsernameByUid(59) }}
发布{{ getTimeInfo('2025-03-25 10:24:06') }}
#10
{{ getUsernameByUid(59) }}
发布{{ getTimeInfo('2025-03-25 10:24:06') }}
#10
我倒是觉得这个设计很不错，模块化中间件，强制使用单个中间件文件，简化配置、防止潜在冲突、优化性能
[官方文档]
Note: While only one middleware.ts file is supported per project, you can still organize your middleware logic modularly. Break out middleware functionalities into separate .ts or .js files and import them into your main middleware.ts file. This allows for cleaner management of route-specific middleware, aggregated in the middleware.ts for centralized control. By enforcing a single middleware file, it simplifies configuration, prevents potential conflicts, and optimizes performance by **oiding multiple middleware layers.
[官方文档]
Note: While only one middleware.ts file is supported per project, you can still organize your middleware logic modularly. Break out middleware functionalities into separate .ts or .js files and import them into your main middleware.ts file. This allows for cleaner management of route-specific middleware, aggregated in the middleware.ts for centralized control. By enforcing a single middleware file, it simplifies configuration, prevents potential conflicts, and optimizes performance by **oiding multiple middleware layers.
{{ getUsernameByUid(4631) }}
发布{{ getTimeInfo('2025-03-25 10:50:40') }}
#11
{{ getUsernameByUid(4631) }}
发布{{ getTimeInfo('2025-03-25 10:50:40') }}
#11
不如发推特链接看看
{{ getUsernameByUid(2682) }}
发布{{ getTimeInfo('2025-03-25 11:01:26') }}
#12
{{ getUsernameByUid(2682) }}
发布{{ getTimeInfo('2025-03-25 11:01:26') }}
#12
这世界就是一个草台班子....
{{ getUsernameByUid(1265) }}
发布{{ getTimeInfo('2025-03-25 11:25:47') }}
#13
{{ getUsernameByUid(1265) }}
发布{{ getTimeInfo('2025-03-25 11:25:47') }}
#13
同，想吃瓜 
{{ getUsernameByUid(7228) }}
发布{{ getTimeInfo('2025-03-25 11:50:20') }}
#14
{{ getUsernameByUid(7228) }}
发布{{ getTimeInfo('2025-03-25 11:50:20') }}
#14
可以追溯到 3 年前的版本了。估计已经产生很多停在这些版本又不维护的项目。乐
{{ getUsernameByUid(14507) }}
发布{{ getTimeInfo('2025-03-25 11:54:08') }}
#15
{{ getUsernameByUid(14507) }}
发布{{ getTimeInfo('2025-03-25 11:54:08') }}
#15
从来不用 middleware 鉴权，主要是不用的页面，有的需要鉴权，有的不需要鉴权，如果按不同页面写鉴权策略写到一个 middleware 逻辑太离散了，所以直接写到 page 里面了，都是每个页面都得粘贴一下有点麻烦。
{{ getUsernameByUid(5064) }}
发布{{ getTimeInfo('2025-03-25 11:58:36') }}
#16
{{ getUsernameByUid(5064) }}
发布{{ getTimeInfo('2025-03-25 11:58:36') }}
#16
https://x.com/eastdakota/status/1903574608789274748
{{ getUsernameByUid(14508) }}
发布{{ getTimeInfo('2025-03-25 14:53:48') }}
#17
{{ getUsernameByUid(14508) }}
发布{{ getTimeInfo('2025-03-25 14:53:48') }}
#17
目前用 nextjs 写网站都只用 output: export 生成静态页面，应该遇不到这种问题
{{ getUsernameByUid(581) }}
发布{{ getTimeInfo('2025-03-25 16:21:52') }}
#18
{{ getUsernameByUid(581) }}
发布{{ getTimeInfo('2025-03-25 16:21:52') }}
#18
23 号开始吵架，今天才开始道歉，哈哈哈哈
{{ getUsernameByUid(14509) }}
发布{{ getTimeInfo('2025-03-25 17:43:29') }}
#19
{{ getUsernameByUid(14509) }}
发布{{ getTimeInfo('2025-03-25 17:43:29') }}
#19
确实**，用到我吐血
{{ getUsernameByUid(post.updatedByUid) }}
编辑于 {{ getTimeInfo(post.UpdatedAt) }}
{{ getUsernameByUid(post.uid) }}
发布于 {{ getTimeInfo(post.CreatedAt) }}
# {{post.num}}
{{ getUsernameByUid(post.updatedByUid) }}
编辑于 {{ getTimeInfo(post.UpdatedAt) }}
{{ getUsernameByUid(post.uid) }}
发布于 {{ getTimeInfo(post.CreatedAt) }}
# {{post.num}}
#{{nav.post.anchor}}