Corrigez votre Next.js pour la rocade d’autorisation (CVE-2025-29927)
Next.js, le cadre populaire React permettant aux développeurs de construire des applications web à pile complète avec rapidité et efficacité, a récemment abordé une vulnérabilité de sécurité importante. Utilisé par un vaste éventail d’entreprises, dont certaines des plus grandes au monde, Next.js est connu pour « vous permettre de créer des applications web full-stack en étendant les dernières fonctionnalités React et en intégrant un puissant outil JavaScript basé sur Rust pour les versions les plus rapides ». Toutefois, un avis de sécurité récemment divulgué révèle un problème critique de contournement des autorisations qui exige une attention immédiate de la part des promoteurs.
L’avis, suivi sous le nom de CVE-2025-29927 avec un score CVSS de 9.1, souligne une faille au sein de l’intergiciel Next.js. Selon l’avis, « il est possible de contourner les contrôles d’autorisation dans le cadre d’une demande Next.js, si le contrôle d’autorisation a lieu dans l’interviensif ». Cela signifie que les acteurs malveillants pourraient potentiellement obtenir un accès non autorisé à des ressources et des fonctionnalités protégées dans des applications reposant sur un intergiciel pour l’authentification et l’autorisation.
Middleware dans Next.js joue un rôle crucial dans l’interception et le traitement des demandes avant qu’elles n’atteignent les voies de l’application. Il est courant d’implémenter une logique d’autorisation dans l’intergiciel pour garantir que seuls les utilisateurs authentifiés et autorisés peuvent accéder à des parties spécifiques d’une application. La vulnérabilité nouvellement découverte permet aux attaquants de contourner ces contrôles, ce qui pourrait avoir de graves conséquences telles que des violations de données, des actions non autorisées et des perturbations des services.
L’équipe Next.js s’est rapidement attaquée au CVE-2025-29927 en publiant des versions patchées. L’avis de sécurité indique clairement les mises à jour nécessaires:
- Pour Next.js 15.x, cette question est réglée au 15.2.3
- Pour Next.js 14.x, cette question est fixée au 14.2.25.
Si votre projet utilise l’une ou l’autre de ces versions principales, la mise à niveau du patch spécifié est l’étape la plus cruciale pour atténuer cette vulnérabilité.
Pour ceux qui utilisent encore des versions plus anciennes de Next.js, en particulier les versions suivant.js 11.1.4 à travers 13.5.6, l’application des derniers patchs n’est peut-être pas une option directe. Dans de tels cas, l’avis fournit une solution de contournement essentiel: «Si le patching to a secure version est infaisable, nous vous recommandons d’empêcher les demandes d’utilisateurs externes qui contiennent l’en-tête de la sous-demande de la plaquette x d’atteindre votre application Next.js.» Cet en-tête est apparemment un élément clé pour exploiter la vulnérabilité, et bloquer les demandes contenant elle peut fournir une couche de protection temporaire. Cependant, il est crucial de comprendre que cette solution de contournement pourrait avoir des implications pour certaines fonctionnalités d’application et une mise à niveau complète vers une version patchée devrait rester l’objectif ultime.
