当前位置： 首页 > news >正文

9.4分漏洞！Next.js Middleware鉴权绕过漏洞安全风险通告

news 来源：原创 2025/7/19 8:53:40

今日，亚信安全CERT监控到安全社区研究人员发布安全通告，Next.js 存在一个授权绕过漏洞，编号为 CVE-2025-29927。攻击者可能通过发送精心构造的 x-middleware-subrequest 请求头绕过中间件安全控制，从而在未授权的情况下访问受保护资源和敏感数据。

目前官方已发布安全更新，亚信安全CERT建议受影响的客户尽快升级至最新版本。

Next.js 是一个基于 React 的前端框架，兼顾服务端渲染（SSR）和静态站点生成（SSG）两种模式。它通过内置的路由系统和数据获取方式，让开发者更轻松地创建高性能、可扩展的单页或多页应用，同时提升网站的搜索引擎优化（SEO）效果。借助 Next.js，开发者可以在不改变 React 使用习惯的前提下，结合服务端渲染和静态导出等特性，快速构建复杂的 Web 应用程序。

漏洞编号、类型、等级和评分

  • CVE-2025-29927

  • 授权绕过漏洞

  • 紧急

  • CVSS3.0：9.1分

  • CVSS2.0：9.4分

漏洞状态

受影响版本

  • 15.* <= Next.js <15.2.3

  • 14.* <= Next.js <14.2.25

  • 11.1.4 <= Next.js <= 13.5.6

产品解决方案

目前亚信安全怒狮引擎已第一时间新增了检测规则，支持CVE-2025-29927漏洞的检测，请及时更新TDA产品的特征库到最新版本。规则编号：106065313，规则名称：Next.js Middleware鉴权绕过漏洞(CVE-2025-29927)。

更新方式如下：

TDA产品在线更新方法：登录系统-》系统管理-》系统升级-》特征码更新；

TDA产品离线升级PTN包下载链接如下：

详细下载地址请后台咨询

修复建议

官方已发布安全补丁通告，建议受影响的用户到官网下载补丁升级到最新版本。

•https://github.com/vercel/next.js/releases/tag/v15.2.3

参考链接

  • https://www.oscs1024.com/hd/MPS-74us-z9c5

  • https://nvd.nist.gov/vuln/detail/CVE-2025-29927

  • https://github.com/vercel/next.js/security/advisories/GHSA-f82v-jwr5-mffw

  • https://github.com/vercel/next.js/commit/52a078da3884efe6501613c7834a3d02a91676d2

本文发布的补丁下载链接均源自各原厂官方网站。尽管我们努力确保官方资源的安全性，但在互联网环境中，文件下载仍存在潜在风险。为保障您的设备安全与数据隐私，敬请您在点击下载前谨慎核实其安全性和可信度。

相关文章：

9.4分漏洞！Next.js Middleware鉴权绕过漏洞安全风险通告

今日&#xff0c;亚信安全CERT监控到安全社区研究人员发布安全通告&#xff0c;Next.js 存在一个授权绕过漏洞&#xff0c;编号为 CVE-2025-29927。攻击者可能通过发送精心构造的 x-middleware-subrequest 请求头绕过中间件安全控制&#xff0c;从而在未授权的情况下访问受保护…...

编程日记 2025/7/19 8:53:40

【Unity3D实现UI轮播效果】

系列文章目录 unity工具 文章目录 系列文章目录👉前言👉一、效果展示👉二、实现步骤👉2-1、搭建UI👉2-2、代码实现👉2-3、代码挂载使用👉三、扩展实现👉壁纸分享👉总结👉前言 功能需求如图所示，点击下一个按钮，所有卡片向右滚动，其中最后一张需要变更…...

编程日记 2025/7/19 8:43:17

谈谈 Webpack 中的 Loader 和 Plugin，它们的区别是什么？

Webpack Loader与Plugin深度解析 作为前端工程化的核心工具&#xff0c;Webpack的Loader和Plugin机制是其强大扩展能力的基石。 理解它们的差异和适用场景&#xff0c;是构建高效打包体系的关键。 我们将从底层原理到实际应用&#xff0c;深入剖析两者的区别。 核心概念对比…...

编程日记 2025/7/17 13:12:32

C#单例模式

单例模式 (Singleton),保证一个类仅有一个实例&#xff0c;并提供一个访问它的全局访问点。通常我们可以让一个全局变量使得一个对象被访问&#xff0c;但它不能防止你实例化对个对象&#xff0c;一个最好的办法就是&#xff0c;让类自身负责保护它的唯一实例。这个类可以保证没…...

编程日记 2025/7/19 8:45:18

Oracle 数据库通过exp/imp工具迁移指定数据表

项目需求&#xff1a;从prod数据库迁移和复制2个表(BANK_STATE&#xff0c;HBS)的数据到uat数据库环境。 数据库版本&#xff1a;Oracle Database 19c Enterprise Edition Release 19.0.0.0.0 迁移工具&#xff1a;客户端exp/imp工具 -- 执行命令 从Prod数据库导出数据exp us…...

编程日记 2025/7/13 4:45:43

MongoDB 与 Elasticsearch 使用场景区别及示例

一、核心定位差异 ‌MongoDB‌ ‌定位‌&#xff1a;通用型文档数据库&#xff0c;侧重数据的存储、事务管理及结构化查询&#xff0c;支持 ACID 事务‌。‌典型场景‌&#xff1a; 动态数据结构存储&#xff08;如用户信息、商品详情&#xff09;‌。需事务支持的场景&#xf…...

编程日记 2025/7/18 13:42:57

PyTorch生成式人工智能实战：从零打造创意引擎

PyTorch生成式人工智能实战&#xff1a;从零打造创意引擎 0. 前言1. 生成式人工智能1.1 生成式人工智能简介1.2 生成式人工智能技术 2. Python 与 PyTorch2.1 Python 编程语言2.2 PyTorch 深度学习库 3. 生成对抗网络3.1 生成对抗网络概述3.2 生成对抗网络应用 4. Transformer4…...

编程日记 2025/7/15 23:44:46

蓝桥杯高频考点——二分（含C++源码）

二分 基本框架整数查找&#xff08;序列二分的模版题 建议先做&#xff09;满分代码及思路solution 子串简写满分代码及思路solution 1&#xff08;暴力 模拟双指针70分&#xff09;solution 2&#xff08;二分 AC&#xff09; 管道满分代码及思路样例解释与思路分析solution 最…...

编程日记 2025/7/15 1:34:35

VUE3项目VITE打包优化

VUE3项目VITE打包优化 代码加密依赖配置效果对比图 自动导入依赖配置 代码压缩依赖配置效果对比图 图片压缩依赖配置效果对比图 字体压缩总结与实践运用效果 代码加密 依赖 npm install -D vite-plugin-bundle-obfuscator配置 import vitePluginBundleObfuscator from "…...

编程日记 2025/7/15 16:31:52

IP 分片重组与 TCP 会话重组

1. IP 分片重组&#xff08;IP Fragmentation & Reassembly&#xff09; &#xff08;1&#xff09;分片原因 当 IP 数据包长度超过 MTU&#xff08;Maximum Transmission Unit&#xff09;&#xff08;如以太网默认 1500 字节&#xff09;时&#xff0c;路由器或发送端会…...

编程日记 2025/7/19 1:14:13

《Python实战进阶》No34：卷积神经网络（CNN）图像分类实战

第34集&#xff1a;卷积神经网络&#xff08;CNN&#xff09;图像分类实战 摘要 卷积神经网络&#xff08;CNN&#xff09;是计算机视觉领域的核心技术&#xff0c;特别擅长处理图像分类任务。本集将深入讲解 CNN 的核心组件&#xff08;卷积层、池化层、全连接层&#xff09;…...

编程日记 2025/7/17 16:50:38

【Django】教程-1-安装+创建项目+目录结构介绍

欢迎关注我&#xff01;后续会更新django教程。一周2-3更&#xff0c;欢迎跟进&#xff0c;本周会更新第一个Demo的单独一个模块的增删改查【Django】教程-4-一个增删改查的Demo【Django】教程-2-前端-目录结构介绍【Django】教程-3-数据库相关介绍 1.项目创建 1.1 安装 Djan…...

编程日记 2025/7/19 8:48:29

力扣DAY29 | 热100 | 删除链表的倒数第N个结点

前言 中等 √ 链表心得&#xff1a;考虑好边界情况。 题目 给你一个链表&#xff0c;删除链表的倒数第 n 个结点&#xff0c;并且返回链表的头结点。 示例 1&#xff1a; 输入&#xff1a;head [1,2,3,4,5], n 2 输出&#xff1a;[1,2,3,5]示例 2&#xff1a; 输入&#…...

编程日记 2025/7/19 8:44:15

渗透测试过-关于学习Token、JWT、Cookie等验证授权方式的总结

关于学习Token、JWT、Cookie等验证授权方式的总结 目录 一、为什么Cookie无法防止CSRF攻击&#xff0c;而Token可以&#xff1f; 二、为什么无论采用Cookie-session的方式&#xff0c;还是Token&#xff08;JWT&#xff09;的方式&#xff0c;在一个浏览器里&#xff0c;同一个…...

编程日记 2025/7/15 13:11:28

C#从入门到精通（3）

目录 第九章 窗体 &#xff08;1&#xff09;From窗体 &#xff08;2&#xff09;MDI窗体 &#xff08;3&#xff09;继承窗体 第十章 控件 &#xff08;1&#xff09;控件常用操作 &#xff08;2&#xff09;Label控件 &#xff08;3&#xff09;Button控件 &…...

编程日记 2025/7/19 1:11:26

greenhill编译出现：3201原因错误

ecom800: 21Mar25 16:26:45.609351: No licenses available for ecom800 Reason: ecom800 (3201): The License Manager cannot be contacted. 解决方式&#xff1a;重新加载lincese驱动。 检查是否安装正确: 检查驱动是否正确识别&#xff1a; 以上检查都正常&#xff0c…...

编程日记 2025/7/16 4:31:22

Docker 快速入门指南

Docker 快速入门指南 1. Docker 常用指令 Docker 是一个轻量级的容器化平台&#xff0c;可以帮助开发者快速构建、测试和部署应用程序。以下是一些常用的 Docker 命令。 1.1 镜像管理 # 搜索镜像 docker search <image_name># 拉取镜像 docker pull <image_name>…...

编程日记 2025/7/14 11:48:32

RISC-V AIA学习2---IMSIC

我在学习文档这章时&#xff0c;对技术术语不太理解&#xff0c;所以用比较恰当的比喻来让自己更好的理解。 比较通俗的理解&#xff1a; 将 RISC-V 系统比作一个工厂&#xff1a; hart → 工厂的一条独立生产线IMSIC → 每条生产线配备的「订单接收员」MSI 中断 → 客户通过…...

编程日记 2025/7/15 21:01:37

C#基础学习（五）函数中的ref和out

1. 引言&#xff1a;为什么需要ref和out&#xff1f; ​问题背景&#xff1a;函数参数默认按值传递&#xff0c;值类型在函数内修改不影响外部变量&#xff1b;引用类型重新赋值时外部对象不变。​核心作用&#xff1a;允许函数内部修改外部变量的值&#xff0c;实现“双向传参…...

编程日记 2025/7/13 16:01:56

【每日算法】Day 9-1：贪心算法精讲——区间调度与最优选择（C++实现）

掌握高效决策的核心思想&#xff01;今日深入解析贪心算法的底层逻辑&#xff0c;聚焦区间调度与最优选择两大高频场景&#xff0c;结合大厂真题与严谨证明&#xff0c;彻底掌握“局部最优即全局最优”的算法哲学。 一、贪心算法核心思想 贪心算法&#xff08;Greedy Algorit…...

编程日记 2025/7/16 18:44:46

Netty源码—8.编解码原理二

大纲 1.读数据入口 2.拆包原理 3.ByteToMessageDecoder解码步骤 4.解码器抽象的解码过程总结 5.Netty里常见的开箱即用的解码器 6.writeAndFlush()方法的大体步骤 7.MessageToByteEncoder的编码步骤 8.unsafe.write()写队列 9.unsafe.flush()刷新写队列 10.如何把对象…...

编程日记 2025/7/18 4:15:03

【踩坑系列】使用httpclient调用第三方接口返回javax.net.ssl.SSLHandshakeException异常

1. 踩坑经历 最近做了个需求&#xff0c;需要调用第三方接口获取数据&#xff0c;在联调时一直失败&#xff0c;代码抛出javax.net.ssl.SSLHandshakeException异常&#xff0c; 具体错误信息如下所示&#xff1a; javax.net.ssl.SSLHandshakeException: sun.security.validat…...

编程日记 2025/7/15 8:19:23

双目云台摄像头全方位监控方案

双目云台摄像头是一种具有两个镜头的摄像头设备&#xff0c;通常配备云台功能&#xff0c;能够实现水平和垂直方向的旋转&#xff0c;从而提供全方位的监控视角&#xff1a; 一、工作原理与特点 工作原理 &#xff1a;双目云台摄像头利用仿生学原理&#xff0c;通过两个标定后的…...

编程日记 2025/7/19 1:10:31

测谎仪策略思路

来源:【东吴金工 金工专题】“高频价量相关性拥抱CTA”系列研究&#xff08;四&#xff09;&#xff1a;CPV因子期货版3.0—CPV测谎机 原创 高子剑 量化邻距离 2024年09月20日 14:37 该报告主要介绍了“高频价量相关性拥抱CTA”系列研究中CPV因子期货版的相关内容&#xff0c;…...

编程日记 2025/7/17 8:13:08

2025年移动端开发性能优化实践与趋势分析

启动速度优化 本质&#xff1a;缩短首次可见帧渲染时间。 方法&#xff1a; iOS&#xff1a;利用Core ML本地模型轻量化部署&#xff0c;减少云端等待。Android&#xff1a;强制启用SplashScreen API&#xff0c;通过setKeepOnScreenCondition控制动画时长。冷启动需将耗时操…...

编程日记 2025/7/18 23:52:37

VScode-i18n-ally-Vue

参考这篇文章&#xff0c;做Vue项目的国际化配置&#xff0c;本篇文章主要解释&#xff0c;下载了i18n之后&#xff0c;该如何对Vscode进行配置 https://juejin.cn/post/7271964525998309428 i18n Ally全局配置项 Vscode中安装i18n Ally插件&#xff0c;并设置其配置项&#…...

编程日记 2025/7/14 20:53:03

vue vue3 走马灯Carousel

背景&#xff1a; 在项目中需要展示多张图片&#xff0c;但在页面上只有一张图片的有限位置&#xff0c;此时考虑使用轮播图实现多张图片的展示。element组件官网有走马灯Carousel的组件详细介绍。 实现效果&#xff1a; 官网链接&#xff1a;点击跳转 核心代码&#xff1a; …...

编程日记 2025/7/16 17:52:57

Android设计模式之Builder模式

一、定义&#xff1a;将一个复杂对象的构建与它的表示分离&#xff0c;使得同样的构建过程可以创建不同的表示。 二、核心思想&#xff1a; 分离构造与表示&#xff1a;将对象的构建过程&#xff08;如参数组合、校验逻辑&#xff09;与对象本身分离。 链式调用&#xff1a;通…...

编程日记 2025/7/16 12:12:31

【时时三省】(C语言基础)关系运算符和关系表达式

山不在高&#xff0c;有仙则名。水不在深&#xff0c;有龙则灵。 ----CSDN 时时三省 在if语句中对关系表达式disc > 0进行判断。其中的“>”是一个比较符&#xff0c;用来对两个数值进行比较。在C语言中&#xff0c;比较符&#xff08;或称比较运算符&#xff09;称为关…...

编程日记 2025/7/18 18:34:46

运算放大器（二）运算放大器的选型与应用

1.运算放大器的工艺决定Vos和Ib 2.TI放大器的命名规律 3.TI精密放大器家族 4.精密运放的选型指南 5.高共模抑制比放大器 6.TI其他的精密放大器 7.选型时需考虑的问题 8.TI精密运放选型实例 先确定供电电压 9.确定放大器的步骤 参考&#xff1a; 注&#xff1a;本文出自对b…...

编程日记 2025/7/15 14:38:16

vulhub靶场jangow-01-1.0.1

启动靶机时点shift停在这个界面 点e进入编辑页面&#xff0c;把ro改成rw signie init/bin/bash Ctrlx保存&#xff0c;ip a查看网卡信息 vim /etc/network/interfaces 把enp0s17改为ens33&#xff0c;保存退出 重启靶机&#xff0c;nmap扫ip ip为192.168.93.179 nmap扫端口 扫…...

编程日记 2025/7/17 7:43:41

android 一步完成 aab 安装到手机

家人们谁懂&#xff01;在 Android 系统安装 aab 应用超麻烦。满心期待快速体验&#xff0c;却发现 aab 无法直装&#xff0c;得先转为 apks 格式&#xff0c;这过程复杂易错。好不容易转好&#xff0c;还得安装 apks&#xff0c;一番折腾&#xff0c;时间与耐心全耗尽。别愁&a…...

编程日记 2025/7/16 14:56:35

mysqlworkbench导入.sql文件

1、MySQL Workbench 新建数据库 或者 在左侧导航栏的 ​Schemas 区域右键选择 ​Create Schema...输入数据库名称&#xff08;例如 mydatabase&#xff09;&#xff0c;点击 ​Apply确认创建&#xff0c;点击 ​Finish 2、选择目标数据库 在左侧导航栏的 ​Schemas 列表中&a…...

编程日记 2025/7/16 15:41:42

pyqt 信号与槽

PySide6 信号与槽机制详解 引言 PySide6 是 Qt for Python 的官方绑定库&#xff0c;为 Python 提供了强大的 GUI 开发能力。其中&#xff0c;信号与槽&#xff08;Signals and Slots&#xff09; 机制是 Qt 事件处理系统的核心&#xff0c;它允许对象之间进行松耦合的通信&a…...

编程日记 2025/7/17 15:47:47

深入探索C++：从基础到实践

目录 引言 一、C 基础语法与特性 &#xff08;一&#xff09;命名空间&#xff08;Namespace&#xff09; 单独使用 嵌套使用 调用形式 &#xff08;二&#xff09;输入输出流&#xff08;I/O Streams&#xff09; &#xff08;三&#xff09;变量作用域 二、C 的…...

编程日记 2025/7/16 4:32:11

从零开始完成冒泡排序（0基础）——C语言版

文章目录 前言一、冒泡排序的基本思想二、冒泡排序的执行过程&#xff08;一&#xff09;第一轮排序&#xff08;二&#xff09;第二轮排序&#xff08;三&#xff09;第三轮排序&#xff08;四&#xff09;第四轮排序 三、冒泡排序的代码实现&#xff08;C语言&#xff09;&am…...

编程日记 2025/7/16 15:56:24

Echars插入的柱状图条形图，鼠标放在图上显示坐标值

只需要将axiosPointer改为cross axisPointer.type支持类型及作用&#xff1a; line&#xff1a;默认直线型指向线shadow&#xff1a;显示坐标轴方向的阴影区域cross&#xff1a;交叉线&#xff08;横向纵向双线&#xff09;none&#xff1a;不显示指向器inside&#xff1a;结合…...

编程日记 2025/7/17 14:55:22

机械臂如何稳稳上桌？Mujoco场景修改实操

视频讲解&#xff1a; 机械臂如何稳稳上桌&#xff1f;Mujoco场景修改实操 前面《常见机械臂模型不用找&#xff01;Mujoco这儿都有&#xff01;》中介绍的mujoco-menagerie中机械臂大多都是base_link放在地上的&#xff0c;这些场景往往和真实的场景对应不上&#xff0c;比如机…...

编程日记 2025/7/14 5:08:04

金融级密码管理器——抗内存扫描的密钥保险箱

目录 金融级密码管理器 —— 抗内存扫描的密钥保险箱一、模块概述与设计背景二、技术原理与设计目标2.1 关键安全原理2.2 设计目标三、系统架构设计3.1 系统架构图（Mermaid示意图）四、关键技术与安全策略4.1 密钥分割与加密存储4.2 动态内存随机化技术4.3 内存扫描检测与自动…...

编程日记 2025/7/14 5:17:30

如何查看 SQL Server 的兼容性级别

在 SQL Server 中&#xff0c;兼容性级别是一个非常重要的设置&#xff0c;它决定了数据库在特定版本的 SQL Server 中运行时所使用的行为和功能。不同版本的 SQL Server 可能会在 SQL 查询优化、索引、语法、错误处理等方面有差异&#xff0c;因此&#xff0c;设置正确的兼容性…...

编程日记 2025/7/16 5:14:03

AI for CFD入门指南（传承版）

AI for CFD入门指南 前言适用对象核心目标基础准备传承机制 AI for CFDLibtorch的介绍与使用方法PytorchAutogluon MakefileVscodeOpenFOAMParaviewGambit 前言 适用对象 新加入课题组的硕士/博士研究生对AICFD交叉领域感兴趣的本科生实习生需要快速上手组内研究工具的合作研…...

编程日记 2025/7/17 14:58:34

人工智能与网络安全

目录 1、人工智能的安全和安全的人工智能各有什么含义&#xff0c;如何解决 2、当人工智能技术应用于某一安全领域&#xff0c;会对该领域的攻守双方带来哪些机遇与挑战 3、ChatGPT原理 、ChatGPT的缺陷 ChatGPT的缺陷 4、人工智能与算力&#xff0c;风险挑战 应对 5、人…...

编程日记 2025/7/15 8:08:02

GPIO输出实验，控制LED灯

1.实验工具&#xff1a;FSMP1A开发板 核心板&#xff1a; 拓展板&#xff1a; 2.实验要求&#xff1a;编写汇编程序&#xff0c;实现三盏灯流水 程序代码&#xff1a; .text .global _start _start: 将RCC_MP_AHB4ENSET寄存器第4位设置为1&#xff0c;使能GPIO外设时钟 …...

编程日记 2025/7/18 5:01:34

小区团购管理设计与实现(代码+数据库+LW)

摘 要 传统办法管理信息首先需要花费的时间比较多&#xff0c;其次数据出错率比较高&#xff0c;而且对错误的数据进行更改也比较困难&#xff0c;最后&#xff0c;检索数据费事费力。因此&#xff0c;在计算机上安装小区团购管理软件来发挥其高效地信息处理的作用&#xff0…...

编程日记 2025/7/16 9:03:47

How to use pgbench to test performance for PostgreSQL?

pgbench 是一个用于测试 PostgreSQL 数据库性能的基准测试工具。通过模拟多个客户端并发执行 SQL 查询&#xff0c;它可以帮助你评估数据库的性能。以下是使用 pgbench 的基本步骤&#xff1a; 安装 pgbench pgbench 是 PostgreSQL 的一部分&#xff0c;因此在安装 PostgreSQ…...

编程日记 2025/7/14 1:48:56

dbeaver连接mongodb 插入日期变成了字符串

dbeaver插入mongodb数据 日期默认使用ISODate处理&#xff0c;但是插入数据以后实际上是ISODate(2025-03-03T03:25:19.640Z)字符串 INSERT INTO xxx.aaa (_id, chatId, buddyId, pId, lastChatId, inspiration, createTime, modelType, version, selectedInspiration, _class)…...

编程日记 2025/7/17 18:40:36

wgcloud怎么实现服务器或者主机的远程关机、重启操作吗

可以&#xff0c;WGCLOUD的指令下发模块可以实现远程关机和重启 使用指令下发模块&#xff0c;重启主机&#xff0c;远程关机&#xff0c;重启agent程序- WGCLOUD...

编程日记 2025/6/28 6:33:10

PrimeTime生成.lib竟暗藏PG添加Bug

在primeTime里生成lib&#xff0c;如何能带上相关的pg信息&#xff1f; 这是一位群友的发问&#xff0c;就这个问题总结了下可能的原因和解决步骤&#xff1a; 概念 PrimeTime是Synopsys的静态时序分析工具&#xff0c;通常用于在设计的各个阶段进行时序验证。 1&#xff09…...

编程日记 2025/7/16 4:36:04

电话号码的字母组合组合总和II 回溯注意事项(Java)

电话号码的字母组合 思路&#xff1a;多个循环可以考虑回溯。 首先明确&#xff1a; 循环的宽度是多少&#xff0c;即从哪些区间取数&#xff08;本题目中每个数字都是3个字母&#xff0c;都是从三个字母中取一个数&#xff0c;所以可以确定循环宽度就是每个数字对应的字符串…...

编程日记 2025/7/18 3:57:58

【软件工程】填空题

真题 2024-10 16.数据字典是用来定义_____中各个成分的具体含义的。 17.模块设计的基本原则是_____。 18.接口是操作的一个集合,其中每个操作描述了类、构件或子系统的一个_____。 19.耦合是指不同模块之间_____的度量。 20.RUP的突出特点是,它是一种以用况为驱动的、…...

编程日记 2025/7/15 6:46:42