Next.js ist ein Open-Source-Webentwicklungsframework des Unternehmens Vercel, das React-basierte Webanwendungen mit serverseitigem und statischem Rendering bereitstellt. Im März 2025 wurden Details zu einer Sicherheitslücke mit der Bezeichnung CVE-2025-29927 veröffentlicht.
Hintergrund und Ausnutzung der Sicherheitslücke
Am 22. März 2025 gab Next.js eine Sicherheitslücke im Middleware-Layer bekannt, die eine Umgehung der Authentifizierung ermöglichte. Die Ausnutzung ist trivial und kann durch das Senden eines zusätzlichen HTTP-Headers mit dem Inhalt x-middleware-subrequest: true erreicht werden.
Schwere und Folgen der Sicherheitslücke
Die Sicherheitslücke CVE-2025-29927 wird nach dem CVSSv3 Base Score mit 9.1 eingestuft. Die erfolgreiche Ausnutzung dieser Sicherheitsanfälligkeit würde es einem Remote-Angreifer ermöglichen, die im Middleware-Layer implementierten Sicherheitsprüfungen, darunter viele Formen der Authentifizierung, zu umgehen. Damit werden schlussendlich Applikationspunkte öffentlich, die eigentlich geschützt wären.
Betroffene Versionen und Schutzmaßnahmen
Es stehen Patches bereit:
-
Next.js 15.x: Das Problem wurde in Version 15.2.3 behoben.
-
Next.js 14.x: Das Problem wurde in Version 14.2.25 behoben.
-
Next.js 11.1.4 bis 13.5.6: Für diese Versionen wird die Nutzung einer Problemumgehung empfohlen, da kein direkter Patch existiert.
Auf Vercel gehostete Next.js-Bereitstellungen sind automatisch vor dieser Sicherheitslücke geschützt. Wenn das Patchen auf eine sichere Version nicht möglich ist, wird empfohlen zu verhindern, dass externe Benutzeranforderungen, die den Header x-middleware-subrequest enthalten, die Next.js-Anwendung erreichen können.
Ausmaß der Betroffenheit
Laut Shodan lassen sich weltweit über 300.000 Systeme mit dem Header „X-Powered-By: Next.js“ finden. In Deutschland sind laut dem Dienst über 33.000 Systeme erreichbar. Wichtig zu beachten ist, dass dies nur die Systeme sind, die von außen so identifizierbar und öffentlich erreichbar sind, die Dunkelziffer der betroffenen Systeme ist vermutlich höher.
In den letzten neun Jahren hat Next.js insgesamt 16 Security Advisories veröffentlicht. Die nun beschriebene Lücke (CVE-2025-29927) wurde als erste davon als kritisch eingestuft. Es besteht dringender Handlungsbedarf, die Sicherheitslücke sollte zeitnah geschlossen werden. Die Entdecker der Sicherheitslücke legen in einem ausführlichen Blogpost dar, wie sie diese gefunden haben.
Mint Secure GmbH
Wie Mint Secure euch dabei unterstützt
Kritische Frameworks-Schwachstellen wie CVE-2025-29927 erfordern schnelles und fundiertes Handeln, wir unterstützen euch dabei.
Incident Response
Schnelle Reaktion und Priorisierung, wenn kritische CVEs wie diese in eurer Infrastruktur bekannt werden.
Penetrationstest
Überprüfung eurer Webanwendungen auf bekannte und unbekannte Schwachstellen im Framework und in der Middleware.
Vulnerability Management
Kontinuierliches Monitoring relevanter CVEs und Advisories, damit ihr rechtzeitig patchen könnt.
Ihr betreibt Next.js-Anwendungen und seid unsicher, ob ihr betroffen seid? Wir prüfen eure Systeme. Jetzt Kontakt aufnehmen.
Fazit
CVE-2025-29927 ist eine kritische, mit 9.1 CVSS-Punkten bewertete Sicherheitslücke im Middleware-Layer von Next.js. Ein einzelner manipulierter HTTP-Header genügt, um Authentifizierungsprüfungen zu umgehen und eigentlich geschützte Anwendungsbereiche offenzulegen.
Betreiber betroffener Versionen sollten umgehend patchen oder, falls das nicht möglich ist, den Header serverseitig herausfiltern.
Ihr benötigt Unterstützung bei der Absicherung eurer Next.js-Anwendungen? Sprecht uns an.
