CVE-2025-29927

Contournement d’Authentification dans Next.js

Une faille critique a été identifiée dans le framework Next.js, portant le numéro CVE-2025-29927. Cette vulnérabilité permet à un attaquant de contourner les mécanismes de validation du middleware, autorisant ainsi l’accès non autorisé à des ressources protégées. L’exploitation semble relativement simple et pourrait être menée à grande échelle, bien que la découverte de routes vulnérables puisse nécessiter une investigation manuelle.

Points Clés :

• Type de vulnérabilité : Contournement d’authentification.
• Produit affecté : Next.js.
• Impact potentiel : Accès non autorisé à des ressources.

Vulnérabilité :

• CVE : CVE-2025-29927
• Description : Permet de bypasser les validations du middleware, rendant accessibles des ressources normalement protégées.

Recommandations :

• Les déploiements utilisant next start et output: 'standalone' doivent être mis à jour en priorité.
• Il est conseillé de consulter l’avis officiel de Next.js pour connaître les versions spécifiques affectées et les correctifs.
• Bien que les Web Application Firewalls (WAF) comme Cloudflare aient mis en place des règles de détection, il ne faut pas s’y fier exclusivement pour la protection, car de nouvelles méthodes d’exploitation pourraient apparaître.
• Les applications utilisant uniquement la partie front-end de Next.js ne sont pas concernées par cette faille.

Source