Next.jsが危険度の高い脆弱性を修正 早期適用を(CVE-2025-29927)

Next.jsの危険度の高い脆弱性(CVE-2025-29927)が修正されました。パッチはリリースされているので早期適用を推奨します。

脆弱性の対象バージョン

 Next.js バージョン 11.1.4 から 13.5.6 を実行している場合、最新のパッチを適用することができないので回避策かバージョンアップの適用を推奨します。

脆弱性の対策バージョン

• Next.js 15.xではバージョン15.2.3
• Next.js 14.xではバージョン14.2.25

脆弱性の概要

ミドルウェアで認証チェックが行われる場合、Next.jsアプリケーション内で認証チェックをバイパスすることが可能です。

攻撃者はこの欠陥を悪用し、認証されていない状態でも保護されたリソースへアクセスすることが可能になります。これは、情報漏えいや不正操作、サービス停止など深刻な被害に直結する可能性があります。

回避策

バージョンアップによるパッチ適用が不可能な場合は、x-middleware-subrequestヘッダーを含む外部ユーザー リクエストが Next.js アプリケーションに到達しないようにすることをお勧めします。

このヘッダーは、脆弱性を悪用するための重要なコンポーネントでありこのヘッダーを含むリクエストをブロックすると、一時的な保護層を提供できます。

一部参照

Urgent: Patch Your Next.js for Authorization Bypass (CVE-2025-29927)