Faille critique de sécurité dans Next.js : Quels risques pour vos applications ?
Avis aux utilisateurs de Next.js : une faille de sécurité critique menace vos applications
Vulnérabilité critique dans Next.js : risques et conséquences
Next.js, un framework React largement adopté pour le développement d’applications web, est actuellement confronté à une sérieuse vulnérabilité qui met en danger de nombreuses applications. Quels sont les risques encourus ? Faisons le point.
CVE-2025-29927 : une menace sérieuse pour les applications Next.js
La récente découverte de la faille de sécurité identifiée sous le code CVE-2025-29927 avec un score CVSS de 9.1 constitue une menace significative pour les applications basées sur Next.js. Cette vulnérabilité permet aux attaquants de contourner les contrôles de sécurité établis par Next.js, mettant en péril l’authentification et l’accès à des zones sensibles de l’application. Des détails sur l’exploitation de cette faille sont disponibles dans un rapport de Zeropath.
Plus précisément, cette faille repose sur la manipulation de l’en-tête x-middleware-subrequest, permettant aux attaquants de déjouer la logique d’autorisation du middleware. Dans les versions antérieures à Next.js 12.2, la manipulation de cet en-tête peut compromettre la sécurité de l’application.
Comment se protéger de la faille CVE-2025-29927 ?
Pour protéger efficacement vos applications basées sur Next.js, il est crucial d’installer les correctifs appropriés. Voici les versions concernées par cette vulnérabilité et les correctifs associés :
- Next.js 15.x : Correction disponible dans la version 15.2.3
- Next.js 14.x : Correction disponible dans la version 14.2.25
- Next.js 13.x : Correction disponible dans la version 13.5.9
- Next.js 12.x : Correction disponible dans la version 12.3.5
Il est également crucial de noter que toutes les versions à partir de 11.1.4 sont vulnérables et qu’aucun correctif n’est disponible pour la branche Next.js 11.X. En cas d’impossibilité d’installation du correctif, il est fortement recommandé de filtrer les requêtes externes contenant l’en-tête x-middleware-subrequest pour protéger votre application Next.js.
Cette faille de sécurité, bien que critique, peut être évitée en appliquant les mesures de protection appropriées. Ne prenez aucun risque et assurez-vous que votre application Next.js reste sécurisée.
Source : www.it-connect.fr
