CVE-2025-29927: Bypass autorizzazione Next.js middleware

CVE-2025-29927 identifica una vulnerabilità critica di bypass dell'autorizzazione nel framework Next.js. La falla consente di aggirare i controlli di accesso implementati nel middleware delle applicazioni Next.js, sfruttando l'header HTTP x-middleware-subrequest. Questo impatto diretto su componenti critici di autenticazione e autorizzazione rende la vulnerabilità particolarmente grave per aziende che utilizzano Next.js per applicazioni web full-stack e per applicazioni che richiedono controlli di accesso robusti.

Il punteggio CVSS è 9,1, classificazione critical, indicando un rischio immediato e diffuso. La vulnerabilità è stata pubblicata da NVD il 21 marzo 2025 e riguarda le versioni dalla 1.11.4 fino alle versioni precedenti a 12.3.5, 13.5.9, 14.2.25 e 15.2.3. Segnali verificati indicano che esiste una proof of concept pubblicamente disponibile, aumentando il rischio di sfruttamento attivo. Le patch ufficiali sono disponibili nelle versioni 12.3.5, 13.5.9, 14.2.25 e 15.2.3.

Per difendenti: priorità massima è aggiornare Next.js alle versioni patched (12.3.5+, 13.5.9+, 14.2.25+, 15.2.3+) non appena possibile. Se il patching immediato non è praticabile, filtrate in ingresso richieste esterne che contengono l'header x-middleware-subrequest per prevenire il bypass. Verificate in staging tutte le patch prima della distribuzione in produzione, e monitorate i log di applicazione per segni di sfruttamento (richieste anomale con quell'header).