Heimdall Security Logo

CVE-2025-29927

Vulnérabilité critique dans next.js (vercel)

CVSS 9.1 · Critique
EPSS 99.2%
vercel•next.js•Versions : >= 13.0.0, < 13.5.9, >= 11.1.4, < 12.3.5, >= 15.0.0, < 15.2.3, >= 14.0.0, < 14.2.25

Description

Next.js is a React framework for building full-stack web applications. Starting in version 1.11.4 and prior to versions 12.3.5, 13.5.9, 14.2.25, and 15.2.3, it is possible to bypass authorization checks within a Next.js application, if the authorization check occurs in middleware. If patching to a safe version is infeasible, it is recommend that you prevent external user requests which contain the x-middleware-subrequest header from reaching your Next.js application. This vulnerability is fixed in 12.3.5, 13.5.9, 14.2.25, and 15.2.3.

Gravité et risque d'exploitation

CVE-2025-29927 obtient un score CVSS de 9.1/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 99.22 %, ce qui la place devant 99.9 % des CVE référencées.

Que faire ?

  • Vérifiez si next.js (versions >= 13.0.0, < 13.5.9, >= 11.1.4, < 12.3.5, >= 15.0.0, < 15.2.3, >= 14.0.0, < 14.2.25) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE