摘要：近日，vercel发布更新修复Next.js中间件鉴权绕过漏洞（CVE-2025-29927），建议您及时开展安全风险自查。

1

漏洞概述

近日，vercel发布更新修复Next.js中间件鉴权绕过漏洞（CVE-2025-29927），建议您及时开展安全风险自查。

据描述，由于 next.js应用程序使用中间件时，其函数调用 runMiddleware 会识别x-middle-subrequest请求头，用以识别是否应用了中间件，如果其值是中间所在路径，则可以完全绕过鉴权。攻击者可以利用该漏洞获取服务器敏感信息。如果站点具有缓存/CDN 系统，则可能会强制缓存 404 响应，从而使其页面不可用，严重影响其可用性 。

漏洞影响的产品和版本：

11.1.4

14.0.0

15.0.0

2

漏洞复现

3

资产测绘

据daydaymap数据显示互联网存在2,864,117个资产，国内风险资产分布情况如下：

4

解决方案

临时缓解方案：

部署针对项目的监控系统：阻止包含 x-middleware-subrequest 标头的外部用户请求到达您的 Next.js 应用程序。

升级修复：

目前官方已发布修复安全补丁

5

来源：小周论科技